Moisson de zero-days de mars 2026 : Chrome, Android et SQL Server sous le feu

Trois zero-days exploitées plus deux divulgations publiques, un seul mois

Mars 2026 n’a pas été un mois tranquille pour les équipes de gestion des vulnérabilités. Avec Google Chrome, Android et Microsoft SQL Server, trois zero-days activement exploitées et deux vulnérabilités publiquement divulguées ont nécessité des cycles de mise à jour d’urgence, CISA ajoutant plusieurs entrées au catalogue des vulnérabilités exploitées connues (KEV).

Chaque vulnérabilité cible une couche différente de la pile d’entreprise — navigateur, appareil mobile, base de données — ce qui signifie qu’aucun cycle de correctif unique ne couvre toute l’exposition. Les organisations utilisant Chrome sur les postes de travail, des appareils Android sur le terrain et des backends SQL Server ont dû coordonner trois flux de remédiation distincts en un seul mois.

Voici ce qui a été exploité, comment et ce que les défenseurs doivent faire.

Chrome : deux zero-days dans V8 et Skia

Google a publié une mise à jour d’urgence de Chrome le 13 mars 2026, corrigeant deux vulnérabilités confirmées comme exploitées dans la nature. Les deux ont reçu un score de vulnérabilité Qualys (QVS) de 95 sur 100.

CVE-2026-3910 — Moteur JavaScript V8

Type : Implémentation inappropriée dans V8 Impact : Exécution de code arbitraire dans le sandbox du navigateur Vecteur d’attaque : Page HTML forgée

CVE-2026-3910 cible le moteur JavaScript et WebAssembly V8 de Chrome — le composant responsable de l’exécution de tout JavaScript sur chaque page web. Une page HTML spécifiquement forgée peut déclencher la vulnérabilité, permettant à un attaquant distant d’exécuter du code arbitraire dans le sandbox du navigateur.

Les vulnérabilités V8 sont prisées par les développeurs d’exploits car l’exécution JavaScript est universelle dans toute activité de navigation. L’attaquant n’a besoin que de convaincre la cible de visiter une page malveillante ou d’injecter la charge dans un site légitime compromis.

Google a explicitement confirmé que « des exploits pour CVE-2026-3910 existent dans la nature » mais a retenu les détails sur les campagnes d’exploitation et les acteurs de menace — une pratique standard pour prévenir une weaponisation supplémentaire.

CVE-2026-3909 — Bibliothèque graphique 2D Skia

Type : Écriture hors limites dans Skia Impact : Corruption mémoire, potentielle exécution de code à distance Vecteur d’attaque : Page HTML forgée

La bibliothèque graphique 2D Skia gère tout le rendu dans Chrome — texte, images, SVG, éléments canvas. CVE-2026-3909 est une vulnérabilité d’écriture hors limites qui permet à un attaquant distant d’écrire des données au-delà de la frontière mémoire prévue via une page HTML forgée.

Les écritures hors limites dans les bibliothèques graphiques sont particulièrement dangereuses car le rendu est constant et automatique. Contrairement aux exploits JavaScript qui nécessitent une exécution de code spécifique, les vulnérabilités Skia peuvent être déclenchées simplement par le rendu d’une image ou d’un élément graphique malveillant intégré dans n’importe quelle page web.

Correctifs et échéances

Google a d’abord publié la version 146.0.7680.75/76 le 12 mars, suivie de 146.0.7680.80 le 14 mars qui incluait le correctif complet pour les deux CVE. CISA a ajouté les deux CVE au catalogue des vulnérabilités exploitées connues le 13 mars 2026, fixant une échéance de remédiation au 27 mars 2026 pour les agences fédérales.

Les déploiements Chrome d’entreprise doivent vérifier que tous les navigateurs gérés exécutent la version 146.0.7680.80 ou ultérieure. Les organisations utilisant des navigateurs basés sur Chromium (Edge, Brave, Opera) doivent vérifier leurs correctifs en aval, car V8 et Skia sont des composants partagés.

Android : zero-day graphique Qualcomm sous exploitation ciblée

CVE-2026-21385 — Sous-composant graphique Qualcomm

Type : Dépassement d’entier dans le pilote GPU Qualcomm Impact : Corruption mémoire, élévation de privilèges locale Vecteur d’attaque : Application malveillante ou code local envoyant des données forgées au pilote graphique Échelle : Plus de 230 chipsets Qualcomm affectés

Le bulletin de sécurité Android de mars 2026 a corrigé 129 vulnérabilités sur deux niveaux de correctifs de sécurité (2026-03-01 et 2026-03-05). Parmi elles, CVE-2026-21385 se distingue comme la seule vulnérabilité confirmée sous exploitation active.

La faille réside dans un composant graphique/affichage open source de Qualcomm utilisé par plus de 230 modèles de chipsets différents. Qualcomm l’a décrite comme un dépassement d’entier pouvant être exploité par un attaquant local pour déclencher une corruption mémoire contrôlée.

Le vecteur d’attaque « local » signifie que l’attaquant a besoin de code s’exécutant sur l’appareil — typiquement via une application malveillante installée depuis une source tierce, ou dans le cadre d’une chaîne d’exploitation multi-étapes où une vulnérabilité de navigateur ou de messagerie délivre la charge initiale, et CVE-2026-21385 fournit l’élévation de privilèges nécessaire pour échapper au sandbox applicatif.

Le bulletin de sécurité de Google note une « exploitation limitée et ciblée », ce qui indique typiquement un petit nombre de cibles de grande valeur — journalistes, dissidents, responsables gouvernementaux — plutôt que des attaques de masse grand public. Ce schéma est cohérent avec les fournisseurs de logiciels espions commerciaux spécialisés dans les chaînes d’exploitation Android pour la surveillance ciblée.

Chronologie

• 18 décembre 2025 — L’équipe de sécurité Android de Google alerte Qualcomm.
• 2 février 2026 — Qualcomm notifie les clients OEM.
• 3 mars 2026 — CISA ajoute CVE-2026-21385 au catalogue KEV, fixant une échéance de remédiation au 24 mars 2026.
• 5 mars 2026 — Correctifs disponibles au niveau de correctif de sécurité Android 2026-03-05.

Défis de remédiation

L’écosystème fragmenté de mises à jour Android signifie que la disponibilité des correctifs n’équivaut pas au déploiement. Les appareils Google Pixel ont reçu la mise à jour de mars rapidement. Samsung, OnePlus et les autres grands OEM suivent typiquement en deux à quatre semaines. Les appareils d’entrée de gamme et les modèles plus anciens de fabricants plus petits peuvent ne jamais recevoir le correctif.

Les organisations avec des politiques BYOD doivent vérifier que les appareils inscrits exécutent au moins le niveau de correctif de sécurité 2026-03-05. Les appareils qui ne peuvent pas être mis à jour doivent être restreints dans l’accès aux ressources sensibles de l’entreprise.

SQL Server : l’élévation de privilèges devient publique

CVE-2026-21262 — Élévation de privilèges SQL Server

Type : Contrôle d’accès inadéquat Impact : Compromission complète de l’instance de base de données depuis un accès authentifié à faibles privilèges CVSS : 8.8 (Élevé) Statut d’exploitation : Divulgué publiquement, non confirmé comme activement exploité au moment de la publication

Le Patch Tuesday de mars 2026 de Microsoft a corrigé 79 à 84 vulnérabilités (les décomptes varient selon la méthodologie), dont deux zero-days publiquement divulguées. CVE-2026-21262 est la plus conséquente des deux.

La vulnérabilité permet à un utilisateur SQL Server authentifié à faibles privilèges d’élever ses privilèges sur le réseau au rôle le plus élevé intégré — sysadmin — sur l’instance de base de données. Une exploitation réussie accorde à l’attaquant la capacité de lire, modifier ou supprimer n’importe quelles données dans les bases utilisateur et système ; créer de nouveaux identifiants ; modifier les permissions existantes ; et déployer des objets malveillants tels que des déclencheurs ou des procédures stockées pour maintenir la persistance.

L’attaque nécessite une connectivité réseau vers une instance SQL Server affectée et un identifiant SQL valide avec des privilèges limités. Elle ne peut pas être exploitée anonymement. Cependant, la combinaison de la divulgation publique et d’un score CVSS de 8.8 en fait une cible attractive pour le mouvement latéral post-compromission dans les environnements où des identifiants SQL Server sont déjà disponibles via un accès antérieur.

Versions affectées et correctifs

Microsoft a publié des mises à jour de sécurité pour l’ensemble de la matrice de support SQL Server :

Les mises à jour sont disponibles pour les déploiements Windows et Linux. Les organisations exécutant SQL Server en production devraient prioriser ce correctif — la divulgation publique augmente la probabilité de weaponisation même sans exploitation confirmée dans la nature au moment de la publication.

Le paysage élargi des correctifs de mars 2026

Au-delà des zero-days phares, le cycle Patch Tuesday de mars comprenait 46 vulnérabilités d’élévation de privilèges, 18 failles d’exécution de code à distance, 10 problèmes de divulgation d’informations, quatre bugs de spoofing, quatre vulnérabilités de déni de service et deux failles de contournement de fonctionnalités de sécurité.

Six vulnérabilités dans le cycle complet de mars ont été signalées comme « plus susceptibles d’être exploitées », ce qui signifie que les défenseurs devraient les traiter avec urgence même en l’absence d’exploitation confirmée.

Priorités de mise à jour pour les équipes de sécurité

La moisson de zero-days de mars 2026 exige une réponse en couches :

1. Chrome : Vérifiez les mises à jour automatiques MAINTENANT. Confirmez que tous les navigateurs gérés exécutent la version 146.0.7680.80 ou ultérieure. N’attendez pas le prochain cycle de correctifs prévu.

1. Android : Imposez les niveaux de correctifs minimaux. Définissez 2026-03-05 comme le niveau minimum acceptable de correctif de sécurité Android pour les appareils accédant aux ressources de l’entreprise. Mettez en quarantaine les appareils non conformes.

1. SQL Server : Corrigez et auditez. Appliquez la mise à jour KB pertinente, puis auditez les identifiants SQL Server pour les comptes à faibles privilèges inutiles qui pourraient servir de points d’entrée pour l’escalade.

1. Surveillez les ajouts au catalogue KEV de CISA. Les trois plateformes ont eu des entrées ajoutées au catalogue KEV en mars. Les organisations soumises au BOD 22-01 ont des échéances de remédiation obligatoires.

1. Examinez l’exposition aux chaînes d’exploitation. CVE-2026-21385 est plus dangereuse comme partie d’une chaîne. Si votre organisation utilise des appareils Android ET a une surface d’attaque basée sur le navigateur, la combinaison crée un risque composé qu’aucun correctif seul n’élimine.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Google Fixes Two Chrome Zero-Days Exploited in the Wild — The Hacker News
• CVE-2026-3910: Chrome V8 Zero-Day Used for In-the-Wild Attacks — SOC Prime
• Google Confirms CVE-2026-21385 in Qualcomm Android Component Exploited — The Hacker News
• High-Severity Qualcomm Bug Hits Android Devices in Targeted Attacks — Malwarebytes
• CVE-2026-21262: SQL Server Zero-Day Fixed in March Patch Tuesday — SOC Prime
• Microsoft March 2026 Patch Tuesday Fixes 2 Zero-Days, 79 Flaws — Bleeping Computer
• Microsoft Patches 84 Flaws Including Two Public Zero-Days — The Hacker News