Le navigateur le plus sûr en 2026 ? Chrome, Edge, Opera, Brave, Firefox et Safari en chiffres – trois moteurs, 15 zero-days

Sur ton bureau, tu as les icônes de six navigateurs. Chrome, Edge, Opera, Brave, Firefox, Safari. Le choix comme au supermarché. Le problème, c’est que sous le capot, il n’y a que trois moteurs – et ce sont eux, pas le logo, qui décident si quelqu’un prend le contrôle de ton portable après un clic sur un lien. 💥

Cette année, Google a déjà corrigé sept failles de Chrome activement exploitées dans des attaques avant que quiconque ne les corrige. Chacune se trouvait aussi dans Edge, Opera et Brave, parce que c’est le même code. La question n’est donc pas « quel navigateur est le plus sûr », mais « quel moteur, corrigé à quelle vitesse et par qui ». J’ai fait le calcul avec les chiffres de 2025 et 2026.

Trois moteurs, ou pourquoi le « choix du navigateur » est en grande partie une illusion

Le moteur du navigateur, c’est la partie qui lit le HTML, exécute le JavaScript et dessine la page. En clair : c’est lui qui reçoit le code d’un site que tu ne connais pas et qui doit l’exécuter sans que rien ne t’arrive. Tous les exploits de navigateur que je connais visent précisément cet endroit.

Et voici la surprise pour les lecteurs non techniques : il n’y a que trois moteurs. Tout le reste, c’est l’habillage, les réglages de confidentialité et la barre d’adresse.

Qu’est-ce que ça veut dire en pratique ? Que lorsque Google annonce « un exploit pour CVE-2026-xxxxx existe dans la nature », la même faille se trouve chez huit internautes sur dix. Pas seulement dans Chrome. Dans Edge, dans Opera, dans Brave, dans Samsung Internet sur le téléphone de ta mère et dans chaque application desktop construite sur Electron (Slack, Teams, Discord, VS Code).

Sur iPhone, c’est encore plus intéressant : « Chrome sur iOS », c’est en réalité WebKit avec le logo Chrome, parce qu’Apple n’autorisait pas d’autres moteurs jusqu’en 2024, et après les changements imposés dans l’UE par le DMA, personne n’y a de toute façon sorti son propre moteur. Donc iPhone = WebKit, point.

Leçon n° 1 : comparer « Opera et Brave » sous l’angle des exploits, c’est comparer deux peintures sur la même voiture. La vraie question : à quelle vitesse l’éditeur te livre les correctifs de Chromium et ce qu’il ajoute de son côté.

Les zero-days, ou ce qui est vraiment attaqué

Un zero-day, c’est une faille que les criminels exploitent avant que l’éditeur ne publie un correctif. Pour un navigateur, c’est le pire scénario : tu ouvres une page et quelqu’un exécute du code sur ton ordinateur. Sans cliquer sur « télécharger », sans « exécuter ».

Dans son rapport annuel « Look What You Made Us Patch », le Google Threat Intelligence Group a compté 90 zero-days exploités en 2025 (78 en 2024, record de 100 en 2023). Et voici une info importante : seulement 8 d’entre eux visaient des navigateurs, moins de 10% – une tendance à la baisse pour la troisième année consécutive. Les attaquants se sont déplacés vers les systèmes d’exploitation (39 zero-days), les équipements de bordure et les appliances (48% du total, un record). Pour la première fois, plus de zero-days ont été attribués à des éditeurs de spyware commercial (CSV) qu’à des groupes d’espionnage étatiques.

Voyons maintenant ce que ça donne pour chaque moteur.

Chrome : 15 zero-days en 21 mois

Huit en 2025 et sept jusqu’au 9 septembre 2026. Presque tous au même endroit : V8, le moteur JavaScript (type confusion, out-of-bounds, use-after-free), plus le graphisme (Skia, ANGLE, Dawn/WebGPU) et deux évasions de sandbox. La plupart ont été trouvés par le Threat Analysis Group de Google, qui traque les éditeurs de spyware. Le premier zero-day de 2025 (CVE-2025-2783) a été signalé par Kaspersky – il a servi dans l’opération d’espionnage « ForumTroll » contre des médias et des universités russes, et l’attaque commençait par un seul clic sur un lien reçu par mail.

Est-ce que ça veut dire que Chrome est une passoire ? Non. Ça veut dire qu’il est la plus grande cible au monde et qu’il a en même temps le plus de gens qui détectent ces attaques. Si Firefox avait 79% du marché, les mêmes équipes les trouveraient dans SpiderMonkey. En revanche, pour toi en tant qu’utilisateur de Chromium, ça signifie une chose : le rythme des mises à jour doit être hebdomadaire, parce que les attaquants n’attendent pas.

Safari et WebKit : peu nombreux, mais « extrêmement sophistiqués »

Apple utilise toujours la même formule : « pourrait avoir été exploité dans une attaque extrêmement sophistiquée contre des individus ciblés ». C’est le nom de code du spyware commercial type Pegasus ou Graphite. En 2025, on a eu trois correctifs de ce genre dans WebKit, dont deux d’un coup en décembre – sachant que CVE-2025-14174 est le même bug que Google avait corrigé dans Chrome deux jours plus tôt (dans la bibliothèque partagée ANGLE). Mars 2026 a apporté l’exploit kit « DarkSword », décrit simultanément par iVerify, Lookout et Google TIG, et la mise à jour d’août Safari 26.6.1 a corrigé 21 failles rien que dans WebKit.

Conclusion : l’utilisateur de Safari apparaît plus rarement dans les statistiques, mais quand il y apparaît, c’est comme cible d’un espion étatique ou mercenaire. Pour une entreprise ordinaire, le risque est faible ; pour un avocat, un journaliste ou un comité de direction, c’est autre chose. D’où le Lockdown Mode d’Apple, un mode qui désactive des morceaux de WebKit en échange de la sécurité.

Firefox : le moins attaqué ne veut pas dire jamais attaqué

SecurityWeek a compté qu’au cours de la dernière décennie, une douzaine environ de failles de Firefox ont été exploitées dans des attaques. En mars 2025, deux jours après Google, Mozilla a corrigé CVE-2025-2857 – le même schéma de bug dans le code IPC que celui qui était justement exploité dans Chrome (Mozilla n’a pas confirmé d’attaques sur Firefox). En mai 2025, au Pwn2Own Berlin, deux chercheurs ont cassé Firefox (renderer, sans évasion de sandbox) – Mozilla a publié le correctif le jour même. En juillet 2026, deux bugs (CVE-2026-15718/15719) sont apparus avec un exploit public, mais sans attaques dans la nature.

Ici, la faible part de marché est paradoxalement un avantage : personne n’investit dans un exploit pour 3% du marché si le même budget peut en rapporter 79%. L’exception, c’est Tor Browser (construit sur Firefox) – là, des exploits apparaissent, parce que la cible est précise.

Leçon n° 2 : le nombre de zero-days mesure l’attractivité de la cible et la vigilance des défenseurs, pas la qualité du code. Mais le fait que ton moteur soit la cible numéro un est une réalité avec laquelle tu dois vivre – et c’est de là que découle tout le reste de cet article.

Les CVE : des chiffres que presque tout le monde lit à l’envers

Sur les forums, chaque année revient le « classement des navigateurs les plus troués », fait selon une méthode simple : compter les CVE. Faisons-le, puis je te montrerai pourquoi cette méthode est définitivement morte en 2026.

Chrome 149 et 150 ont corrigé à eux deux 1072 bugs de sécurité – plus que les 23 versions précédentes réunies. Depuis avril 2026, Google a publié plus de 1400 correctifs. Que s’est-il passé ? Google a lâché sur son propre code des agents IA (Big Sleep de DeepMind et Project Zero, CodeMender), qui passent chaque modification au peigne fin tous les jours. Résultat : à mars 2026, Google avait reçu plus de signalements que sur toute l’année 2025 ; en avril, il a baissé les primes de bug bounty pour les bugs simples, et il teste maintenant deux mises à jour de sécurité par semaine, parce qu’une par semaine ne suffit plus.

Et maintenant une question aux adeptes du comptage de CVE : Chrome est-il devenu six fois moins sûr en 2026 qu’en 2025 ? Évidemment que non. Il a été fouillé six fois plus minutieusement. Le nombre de CVE mesure l’intensité de la recherche, pas le nombre de failles. Firefox avec 187 CVE n’est pas « presque aussi troué que Chrome » – il a simplement un processus de signalement honnête et public. Et Safari avec quelques dizaines de CVE n’est pas trois fois meilleur – Apple en dit simplement moins, et plus tard.

Il y a en revanche un chiffre qui ne change pas depuis des années et qui dit vraiment quelque chose : environ 70% des bugs graves de Chromium sont des bugs de sécurité mémoire (use-after-free, dépassements de tampon) – autrement dit des erreurs classiques de C++. Le GTIG a calculé qu’en 2025, 35% de tous les zero-days exploités relevaient justement de cette catégorie. C’est pourquoi les trois investissent dans la même chose : Firefox intègre Rust depuis des années, Chrome a MiraclePtr (qui transforme un use-after-free en simple crash), le V8 Sandbox et, en 2026, il a porté le décodeur PNG en Rust, et Apple a introduit dans l’iPhone 17 le Memory Integrity Enforcement matériel.

Leçon n° 3 : si quelqu’un te vend un navigateur avec le slogan « nous avons le moins de CVE », demande combien de personnes cherchent ces CVE. Le silence dans la base NVD, c’est plus souvent une absence d’audit qu’une absence de bugs.

La vitesse de correction – la seule métrique que j’afficherais au mur

Le zero-day, c’est le problème de l’éditeur. Mais dès la publication du correctif, le bug devient un n-day, c’est-à-dire une faille que le monde entier connaît déjà et que toi, tu n’as pas encore corrigée. Chromium est open source : dès que le correctif atterrit dans le dépôt, n’importe qui peut l’analyser à rebours et écrire un exploit. C’est pourquoi le rythme est tout.

Les meilleures données solides viennent de Project Zero, dans une analyse de 2022 (signalements de 2019-2021) : Chrome mettait en moyenne 30 jours entre le signalement et la publication du correctif, Firefox 38, WebKit 73. Le plus intéressant était à l’intérieur : chez Chrome, le correctif était prêt dans le code après env. 5 jours, puis attendait sa publication pendant la majeure partie de ces 30 jours. Google en a tiré la leçon – depuis août 2023 (Chrome 116), les mises à jour de sécurité sortent chaque semaine, ce qui a réduit le « patch gap » d’env. 15 jours de 3,5 jours supplémentaires. En 2026, comme je l’ai écrit plus haut, il pilote deux mises à jour par semaine.

En pentest, je vois ça comme ça : je scanne le réseau du client, je récupère les versions des navigateurs dans les en-têtes User-Agent et j’ai presque toujours deux ou trois postes avec un navigateur vieux de plusieurs mois, parce que « quelqu’un n’a pas redémarré depuis les vacances ». Dans la famille Chromium, chacun de ces postes embarque tous les zero-days de l’année. Je n’ai alors pas besoin d’un exploit à un million, il suffit d’attendre que quelqu’un clique.

Leçon n° 4 : en entreprise, tu ne choisis pas un « navigateur sûr ». Tu choisis celui que tu sais imposer dans sa version à jour via des politiques (GPO/Intune/MDM) sur tous les postes. Pour le business, ça se résume à Chrome ou Edge avec une politique de mises à jour automatiques et un redémarrage forcé, éventuellement Firefox ESR.

Combien de personnes dans l’équipe sécurité ? Personne ne le dira, mais le portefeuille parle

J’ai cherché des chiffres actuels et je vais être honnête : aucun des trois éditeurs ne publie la taille de l’équipe sécurité de son navigateur. Les derniers chiffres publics sont anciens (Chrome parlait d’env. 20 ingénieurs en 2013, Mozilla d’env. 80 personnes, bénévoles compris, en 2008) et ne veulent plus rien dire aujourd’hui. Il existe en revanche trois indicateurs indirects qui disent quelque chose : combien ils paient les chercheurs, qui trouve leurs bugs et ce qui est arrivé aux équipes.

Pour Opera, j’ajoute une chose que je répète toujours à mes clients : ses retards de correctifs sont un problème technique, mesurable en jours. En revanche, le fait qu’un navigateur avec un « VPN » intégré (en pratique un proxy) appartienne aux deux tiers à une société de Pékin, c’est une question que doit poser le service conformité, pas le pentesteur. Opera affirme que son propriétaire n’a pas accès aux données des utilisateurs. Je n’ai aucun moyen de le vérifier – et c’est toute la réponse.

Leçon n° 5 : la sécurité d’un moteur s’achète avec de l’argent et de l’ouverture. Google a le plus du premier, Mozilla le plus du second, Apple a l’argent et le silence. Les éditeurs basés sur Chromium n’ont pas de moteur – ils ont une montre.

Là où l’argent disparaît vraiment : extensions et infostealers

Maintenant, une douche froide pour tous ceux qui ont tenu jusqu’ici pour choisir « le moteur le plus sûr ». Dans mes missions, je vois rarement un exploit de navigateur. Ce que je rencontre sans arrêt, c’est :

• Les infostealers, c’est-à-dire des malwares qui lisent tout simplement les mots de passe, cookies et sessions enregistrés dans le navigateur. Flashpoint a calculé qu’au premier semestre 2025, ils ont volé 1,8 milliard d’identifiants sur 5,8 millions d’appareils, et que sur toute l’année 2025, ils ont infecté plus de 11 millions d’appareils. Verizon a montré dans son rapport DBIR 2025 que 54% des victimes de ransomware avaient auparavant leurs domaines dans des logs d’infostealers. Un infostealer n’a pas besoin de zero-day. Il a besoin que tu installes un « crack de Photoshop ».
• Les extensions malveillantes. En juillet 2025, Koi Security a trouvé dans les stores de Chrome et Edge 18 extensions (couleurs, VPN, emoji, « dark mode ») installées 2,3 millions de fois, qui ont discrètement reçu une mise à jour malveillante. Six mois plus tôt, un phishing visant des développeurs d’extensions avait compromis plusieurs dizaines d’extensions chez env. 2,6 millions d’utilisateurs. Le moteur n’y est pour rien : l’extension a la permission officielle de lire chaque page.
• Le phishing et ClickFix, c’est-à-dire une page qui te demande de coller quelque chose dans le terminal. Ça marche exactement pareil dans Safari, Chrome et Firefox, parce que ça attaque l’humain.

Leçon n° 6 : le choix du moteur décide si quelqu’un prend le contrôle de ton ordinateur sans ton aide. S’il le prend avec ton aide, ce sont les politiques qui décident : interdiction d’enregistrer les mots de passe dans le navigateur (gestionnaire de mots de passe), liste blanche des extensions et un MFA qu’on ne peut pas voler via un cookie.

Sept lois de la sécurité des navigateurs (version 2026)

1. Tu ne choisis pas un navigateur, tu choisis un moteur et une montre. Blink, WebKit ou Gecko – et qui te livre les correctifs.
2. Un navigateur vieux d’un mois, c’est un navigateur avec tous les zero-days de l’année. Les mises à jour automatiques plus le redémarrage forcé sont une obligation, pas une option.
3. Le nombre de CVE mesure l’audit, pas le nombre de trous. 429 correctifs dans Chrome 149, c’est une bonne nouvelle.
4. Un zero-day dans Chrome, c’est un zero-day dans Edge, Opera, Brave et Teams. Vérifie quand ton éditeur l’a livré.
5. Si tu es une cible de spyware, utilise le mode renforcé (Lockdown Mode dans Safari, Enhanced Protection dans Chrome, Edge avec le JIT désactivé) et attends-toi à ce que certains sites fonctionnent moins bien.
6. Les extensions, c’est du code avec des permissions sur tout. En entreprise : liste blanche ou rien.
7. Les mots de passe dans le navigateur sont un cadeau pour l’infostealer. Gestionnaire de mots de passe et MFA résistant au phishing (clés/passkeys), parce que ceux-là ne peuvent pas être exfiltrés dans un log.

En résumé : ce que je choisirais

En tant que pentesteur, pas en tant que fan d’un logo :

• Entreprise, postes gérés : Chrome ou Edge avec des politiques de mise à jour – le moteur le plus audité, les correctifs les plus rapides, le plus d’outils de gestion. Firefox ESR si tu tiens à avoir un deuxième moteur dans l’organisation.
• Confidentialité et « cible plus petite » : Firefox – en sachant que sur certaines plateformes sa sandbox est moins mature que celle de Chromium et que Mozilla dispose d’une fraction du budget de Google. Brave si tu veux du blocage du pistage sur un moteur Chromium.
• Écosystème Apple : Safari, parce que de toute façon tu n’as pas d’autre moteur sur iPhone. Pour les personnes à haut risque : Lockdown Mode.
• À éviter : les navigateurs en retard sur les correctifs de Chromium, tout ce qui est en fin de support et tout navigateur dans lequel tu stockes des mots de passe sans MFA.

Le plus important : il n’existe pas de classement « navigateur le plus sûr 2026 » qui tiendrait une semaine. Il y a un rythme : moteur, correctifs, politiques, humains. Si tu veux vérifier à quoi ressemble ce rythme chez toi – des versions de navigateurs sur les postes jusqu’à savoir si les identifiants de tes employés circulent déjà dans des logs d’infostealers – c’est exactement le genre de choses que je vérifie dans le cadre des tests de sécurité. Tu peux faire ton estimation toi-même avec le calculateur. ✔️

Sources

• StatCounter Global Stats – Browser Market Share (août/septembre 2026)
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year (sept. 2026)
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days (retards d’Opera)
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome, Firefox, Safari – nombre de CVE par année (NVD)
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) et SEC Schedule 13D/A, Opera Ltd (2026)