Google a corrigé une faille de sécurité critique d'Android qui pourrait permettre l'exécution de code à distance sans que l'utilisateur touche l'écran ou autorise la moindre action. La vulnérabilité, identifiée comme CVE-2026-58868, est l'élément le plus grave du bulletin de sécurité de novembre 2026, publié le 2 novembre.
Selon le bulletin officiel, la faille se situe dans le composant Framework du système et est causée par un dépassement de tampon (heap buffer overflow) dans la fonction onOutputReceived du fichier FrameDecoder.cpp, partie du code qui génère les miniatures et traite les médias tels que photos et vidéos. Google la classe comme critique car elle pourrait conduire à une exécution de code à distance sans privilèges d'exécution supplémentaires et sans interaction de l'utilisateur. Elle touche les appareils sous Android 14, 15, 16, 16 QPR2 et 17.
Le bulletin de novembre corrige 216 vulnérabilités, dont 23 classées critiques. Parmi elles figurent deux autres failles d'exécution de code à distance dans le composant System, CVE-2026-58876 et CVE-2026-58936, toutes deux notées 9,8 sur 10 sur l'échelle CVSS. Le même bulletin inclut aussi la faille surnommée « SMS of Death » (CVE-2026-58882), qui peut mettre hors service la téléphonie de l'appareil — un sujet que Geekiki a déjà couvert dans un autre article.
Le contexte est important : Google affirme ne pas avoir connaissance d'une exploitation active de ces failles, et aucune preuve de concept publique n'est connue. Le bulletin ne détaille pas non plus comment un attaquant atteindrait le code vulnérable, et le terme « zero-click » ne signifie pas automatiquement que n'importe quel appareil peut être atteint par internet. Les protections de la plateforme Android et Google Play Protect, selon Google, réduisent la probabilité d'une exploitation réussie.
Le correctif se trouve dans le niveau de correctif de sécurité 2026-11-01 ou ultérieur, et le bulletin complet exige le niveau 2026-11-05. Le déploiement dépend de chaque fabricant et opérateur. L'avertissement le plus important concerne les anciens appareils : selon les données de distribution citées par Cybernews, 43,6 % des appareils Android actifs fonctionnent encore sous Android 13 ou une version antérieure, qui ne reçoivent plus de correctifs de sécurité — ces téléphones ne recevront pas le correctif.
Pour vérifier le niveau de correctif, allez dans Paramètres > Sécurité et installez la mise à jour de novembre dès qu'elle est disponible pour votre appareil.
Crédit image : robot Android, par Google / Irina Blok, via Wikimedia Commons (CC BY 3.0).
Sources :
- Bulletin de sécurité Android — novembre 2026 (Google)
- Cybernews — Android zero-click flaw fixed, but many phones may miss patch
- Security Affairs — CVE-2026-58868: Critical Android Bug Could Let Attackers Run Remote Code
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, en croisant des publications publiques sur X et des sources d'internet. Consultez toujours les sources originales listées ci-dessus.
Muse
