Chrome : le ticket du 1er octobre a onze lignes, le rouleau du 6 en a 247

Le ticket de caisse du 1er octobre tient dans la main. Onze lignes, un total annoncé, un numéro de build, et la mention que ça va sortir sur plusieurs jours. Cinq jours plus tard, on te tend un rouleau. Le numéro majeur a changé. Les lignes, je les ai comptées, parce que le total imprimé en tête de liste ne m'est pas arrivé d'un seul tenant. Le rouleau fait 247 lignes qui portent un CVE. Quatre d'entre elles sont marquées critiques. Et le second numéro, celui d'après la barre oblique, n'existe que si tu n'es pas sur Linux.

Le jeudi 1er octobre 2026, le canal stable desktop passe à 154.0.8037.97/.98 pour Windows et Mac, et à 154.0.8037.97 pour Linux. Le mardi 6 octobre 2026, il passe à 155.0.8059.39/.40 pour Windows et Mac, et à 155.0.8059.39 pour Linux. Les deux billets disent que ça se déploie sur les jours et les semaines qui viennent. Les deux renvoient au journal des changements pour la liste complète, et à la page sécurité de Chrome. Les deux préviennent que l'accès au détail d'un bug, et aux liens, peut rester restreint tant que la majorité des gens n'a pas le correctif, et aussi si le bug est dans une bibliothèque tierce que d'autres projets n'ont pas encore corrigée. Je m'arrête aux titres de ligne. Je n'ouvre pas ce qui est fermé.

Onze lignes, et la phrase qui le dit

Le billet du 1er octobre écrit une phrase nette : cette mise à jour inclut 11 correctifs de sécurité. J'ai compté les lignes en dessous. Une critique, neuf hautes, une moyenne. Ça fait onze.

La critique : CVE-2026-103628, écriture hors limites dans WebGL, signalée par Google le 21 août 2026. Le crochet de récompense est N/A. Parmi les hautes, une ligne porte une formule que le rouleau du 6 octobre va répéter : CVE-2026-103631, dépassement de tampon dans WebRTC, signalé par Xinyang Ge (Anthropic), assisté par Claude, le 28 septembre 2026. Crochet TBD. La moyenne : CVE-2026-103627, fuite d'information dans SVG, Google, le 26 août. Je ne récite pas les neuf titres hauts. Le billet les a. Le total, lui, est écrit en toutes lettres dans la phrase, et le décompte tombe dessus.

Le rouleau, compté ligne à ligne

Le billet du 6 octobre a la même phrase de total, et le rendu que j'ai eu la coupait. Je ne soude pas deux morceaux pour faire dire à Google un chiffre que je n'ai pas relu dans le HTML. Ce que j'ai, c'est la liste. 247 lignes avec un CVE. 4 Critical, 53 High, 122 Medium, 68 Low. Quatre plus cinquante-trois plus cent vingt-deux plus soixante-huit, ça redonne 247. Le rouleau est cohérent avec lui-même. La phrase du haut, je la laisse en attente d'une relecture.

Les quatre critiques sont toutes des use-after-free, et elles ne portent pas le même nom. CVE-2026-106382, dans Chromecast, Google, le 15 juillet 2026, crochet N/A. CVE-2026-106197, dans Browser, Xinyang Ge, le 11 septembre, crochet TBD. Cette ligne-là ne dit pas « assisté par Claude ». CVE-2026-106358, dans Navigation, Xinyang Ge (Anthropic), assisté par Claude, le 28 septembre, TBD. CVE-2026-106347, dans Track, la même signature, le 30 septembre, N/A. Deux critiques sur quatre portent la formule. Les deux autres, non. Je ne les peins pas de la même couleur.

La formule « assisted by Claude », sur ce billet-là, est sur 12 lignes. Deux critiques, et dix hautes : Select, Metrics, Media, Parser, encore Media, WebRTC, encore Media, V8, et deux PDF. Toutes sont signées Xinyang Ge (Anthropic). Les dates vont du 24 au 30 septembre. D'autres lignes du même rouleau disent « Xinyang Ge » ou « xinyang » sans la formule, ou « OpenAI Codex Security ». Je ne les verse pas dans les douze. Et je ne verse pas non plus le CVE-2026-103631 du 1er octobre : c'est un autre billet, un autre numéro majeur.

Les crochets de récompense, sur les 247 lignes, ne sont pas un seul tampon. J'en ai compté 190 à N/A, 41 à TBD, neuf à 2 000 dollars, quatre à 1 000, deux à 3 000, et un à 5 000, écrit [$5000], sans la virgule des autres. Ce 5 000 est la ligne CVE-2026-102322, autorisation incorrecte dans SiteIsolation, Avadhut Mahamuni, le 23 juin 2026. Le billet du 1er octobre, dans les lignes que j'ai lues, n'a pas ces montants. Il a N/A et TBD. Je ne lui prête pas le barème du 6.

Le numéro d'après la barre n'est pas pour tout le monde

Les deux billets impriment deux builds pour Windows et Mac, et une seule pour Linux. Le 1er octobre, Linux s'arrête à .97. Le 6 octobre, Linux s'arrête à .39. Le .98 et le .40 sont du côté Windows et Mac. Je ne fabrique pas un 155.0.8059.40 Linux. La phrase ne l'a pas.

Les deux billets finissent sur la même liste d'outils : AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer, ou AFL. C'est la phrase sur la façon dont beaucoup de bugs sont trouvés. Ce n'est pas une phrase qui dit qu'une des 247 lignes, ou une des 11, est déjà utilisée dehors. Cette phrase-là n'est dans aucun des deux billets.

✍️ À toi : le numéro que chrome://settings/help affiche vraiment, et s'il a redémarré. Les billets parlent d'un déploiement sur des jours et des semaines. Ton poste a une build, ou il a encore la précédente.

Le 1er octobre, le ticket dit 11, et les lignes font 11, dont une critique dans WebGL. Le 6 octobre, le rouleau fait 247 lignes, dont 4 critiques, et 12 d'entre elles portent la formule « assisté par Claude ». Linux, les deux jours, n'a pas le second numéro. Le détail des bugs peut rester fermé. Le correctif, dans les deux textes, n'est pas un interrupteur le jour du billet : c'est un déploiement qui prend les jours et les semaines d'après.