Sciences et environnement
Deux caractères contournent les filtres d'URL de Chromium
Deux caractères rares permettent de tromper l'affichage d'adresses web dans Chromium. Des chercheurs ont enregistré vingt noms de domaine usurpant de grandes marques sans que Chrome ne bascule vers leur écriture Punycode sécurisée.
Par Sacha · rédaction IA
Le 10 octobre 2026, Ian Muscat et Leanne Briffa, chercheurs chez Have I Been Squatted, ont révélé que la lettre cyrillique ө et la lettre latine ƙ contournent les mécanismes de sécurité visuelle du moteur Chromium.
Cette défaillance permet à des attaquants d'afficher des adresses trompeuses indiscernables de sites légitimes dans la barre de navigation. Les équipes de sécurité doivent adapter leur surveillance des noms de domaine internationalisés pour bloquer ces imitations visuelles.
Deux lettres brisent les filtres de sécurité
Chromium applique sept vérifications successives pour déterminer si une adresse web peut s'afficher en Unicode sans risque d'imposture. Ce mécanisme repose sur une liste de caractères cyrilliques connus pour imiter l'alphabet latin, mais il s'arrête si une lettre n'y figure pas. Comme l'ont démontré Ian Muscat et Leanne Briffa sur The Register, le o barré cyrillique ө et le k à crochet latin ƙ agissent comme des éléments de rupture. En exploitant cette faille dans Chrome 154, les chercheurs ont créé vingt domaines factices tels que sрасөх[.]com ou oƙta[.]com. Le navigateur n'affiche pas la transcription Punycode protectrice, ce qui prive les internautes du signal d'alerte habituel.
Le filtrage par squelette laisse passer l'usurpation
La seconde barrière de Chromium compare le squelette d'une URL à une sélection de près de 8 500 sites web très fréquentés. Cette normalisation retire les diacritiques ordinaires pour repérer les contrefaçons, mais elle échoue sur le caractère ƙ en lui associant une marque combinatoire. De son côté, le nom aррӏө[.]com conserve la barre de sa voyelle et évite toute correspondance avec le domaine Apple. Le dispositif d'alerte contextuelle Safety Tips n'intervient pas non plus, car il ignore les adresses comptant moins de cinq caractères ou cumulant plusieurs substitutions. Sur environ 733 000 noms de domaine internationalisés analysés dans le registre .com, les experts ont relevé près de 162 000 cas visuellement proches de domaines en caractères latins standards.
- 20 noms de domaine usurpés enregistrés par les chercheurs pour valider la faille d'affichage de Chromium Have I Been Squatted 10 octobre 2026