PatchFactoryVeille
Menu
← Toutes les publications
Microsoft Edge · Sécurité6 min de lecture

Microsoft Edge 152 : viser la build 152.0.4191.66 après deux CVE exploitées

Microsoft publie Edge Stable 152.0.4191.66 après deux CVE Chromium signalées comme exploitées. Les parcs Intune/MECM doivent viser 152.0.4191.66+ et vérifier que l'updater Edge n'est pas bloqué.

Impact
Navigateur, CVE exploitées et parcs gérés
Action
Viser Edge Stable 152.0.4191.66+
Statut
À déployer

Ce qui change

Fait sourcé : Microsoft a publié deux mises à jour de sécurité Microsoft Edge Stable début septembre 2026. La note du 2 septembre 2026 indique que Microsoft Edge Stable Channel 152.0.4191.62 incorpore les dernières mises à jour de sécurité du projet Chromium et corrige CVE-2026-85046, signalée par l'équipe Chromium comme exploitée dans la nature. La note du 4 septembre 2026 publie ensuite Microsoft Edge Stable 152.0.4191.66 et précise que cette build corrige aussi CVE-2026-87491, également signalée exploitée dans la nature côté Chromium, ainsi que CVE-2026-85892 pour Microsoft Edge.

Le CVRF MSRC September 2026 Early Security Updates, reconsulté le 11 septembre 2026, référence encore CVE-2026-85046 mais ne contient pas encore CVE-2026-87491 ni CVE-2026-85892 dans l'extraction API. La source déterminante pour ces deux dernières entrées est donc la page officielle des notes de sécurité Microsoft Edge, qui précise que certaines CVE sont ajoutées progressivement.

Analyse PatchFactory : le signal ne doit pas attendre le Patch Tuesday. Une CVE exploitée dans le navigateur par défaut du poste est un cas classique où l'objectif opérationnel est simple : vérifier que le mécanisme de mise à jour Edge n'est pas bloqué et que les anneaux les plus exposés ont déjà franchi la build corrigée.

Qui est concerné

Sont concernés les parcs Windows, macOS et Linux où Microsoft Edge Stable est utilisé, en particulier les postes exposés à la navigation Web, aux applications SaaS, aux consoles d'administration et aux portails internes. Dans un contexte Workplace, l'attention doit porter sur les postes gérés par Intune, Configuration Manager, GPO ou outils tiers qui contrôlent Microsoft Edge Update.

Les environnements où les mises à jour navigateur sont volontairement différées sont les plus à risque : politiques Edge Update restrictives, proxy qui perturbe l'updater, packaging manuel, images persistantes rarement redémarrées, VDI non persistante avec navigateur figé dans l'image, ou serveurs d'administration qui utilisent Edge mais échappent aux anneaux standards.

Impact opérationnel

Fait sourcé : Microsoft documente les politiques Microsoft Edge Update qui permettent de contrôler l'installation et les mises à jour. Les politiques UpdateDefault et Update peuvent autoriser les mises à jour, les limiter aux mises à jour silencieuses, les laisser en manuel ou les désactiver. Microsoft recommande l'installation de la dernière version du navigateur pour bénéficier des protections les plus récentes.

Analyse PatchFactory : l'enjeu n'est pas seulement de connaître le numéro de build. Il faut repérer les groupes où l'updater ne fonctionne pas réellement. Un poste peut recevoir les mises à jour Windows mais garder un Edge vulnérable si la stratégie Edge Update, le canal Stable ou le réseau empêchent la mise à jour applicative. À l'inverse, si Edge Update est sain, la correction peut déjà être appliquée sans déploiement MECM spécifique.

Actions recommandées

Recommandation PatchFactory : traiter ce signal comme À déployer. Vérifier d'abord l'inventaire de version Edge sur les postes gérés. La cible minimale opérationnelle devient Microsoft Edge Stable 152.0.4191.66 ou ultérieure, car elle embarque le correctif initial pour CVE-2026-85046 et le correctif complémentaire du 4 septembre pour CVE-2026-87491.

Contrôler ensuite les politiques Microsoft Edge Update. Les stratégies qui désactivent les mises à jour ou les limitent au manuel doivent être justifiées, documentées et compensées par un canal de déploiement maîtrisé. Pour Intune, vérifier les profils Settings Catalog ou ADMX importés liés à Edge Update. Pour MECM, vérifier que le packaging Edge, les règles de détection et les collections couvrent les postes où l'updater automatique est neutralisé.

Demander au support et au SOC de surveiller les exceptions : machines hors ligne, postes kiosque, postes d'administration, VDI, environnements isolés, et appareils sur lesquels Edge est utilisé pour accéder aux consoles cloud.

Échéances et points de vigilance

Fait sourcé : Microsoft date la correction mentionnant CVE-2026-85046 du 2 septembre 2026 et la correction mentionnant CVE-2026-87491 du 4 septembre 2026, dans Microsoft Edge Stable 152.0.4191.66. La page Stable Channel confirme que cette build du 4 septembre est une mise à jour de correctifs et renvoie aux notes de sécurité.

À surveiller : le CVRF MSRC consulté le 11 septembre ne reflète pas encore toutes les entrées Edge visibles dans les notes de sécurité Microsoft Edge. Il faut donc conserver la surveillance Security Update Guide/MSRC, mais l'action parc ne doit pas attendre cette consolidation : les postes exposés doivent déjà viser 152.0.4191.66+.

Sources