Google a publié son bulletin de sécurité de novembre 2026, révélant une faille critique référencée sous le numéro CVE-2026-58868. Cette vulnérabilité permet à un attaquant d’exécuter du code à distance sur les téléphones Android pris en charge, sans qu’aucune action ni interaction de l’utilisateur ne soit requise.
La faille zero-click frappe le cœur du système
La brèche touche le composant Framework d’Android. Elle concerne plus particulièrement le sous-système de décodage multimédia en charge de la génération des miniatures d’images et de vidéos, comme l’explique Linformatique.
Lorsqu’un conteneur multimédia corrompu est transmis à l’appareil via une application de messagerie ou un flux en arrière-plan, le système tente de prévisualiser le fichier. Cela provoque un dépassement de mémoire tampon sur le tas, ouvrant la voie à une exécution de code à distance sans le moindre clic de la victime.
Les versions d’Android allant de la 14 à la 17 sont concernées par cette menace.
Google classe la faille au niveau de sévérité maximal dans son bulletin de sécurité. Il qualifie le vecteur d’attaque de Zero-Interaction Remote Code Execution
. Les analystes notent que ce profil d’exploitation supprime la barrière humaine traditionnellement sollicitée lors des campagnes d’hameçonnage ou de manipulation psychologique.
Ce bulletin mensuel publié le 2 novembre 2026 apporte des corrections pour 216 vulnérabilités distinctes. Il englobe 23 failles critiques ainsi que 193 problèmes classés de gravité élevée.
Le niveau de correctif daté du premier jour du mois adresse 119 vulnérabilités. Parmi elles figurent huit critiques localisées dans des éléments fondamentaux tels que l’environnement d’exécution, le composant System et le Framework.
La déclinaison du 5 novembre prend en charge quant à elle 97 failles supplémentaires. Dont 15 critiques touchant le noyau Linux à hauteur de 31 failles.
S’y ajoutent les briques logicielles issues de fabricants de puces spécialisés comme MediaTek, Qualcomm, Imagination, Unisoc et Arm.
Le correctif se fragmente face aux constructeurs tiers
Pour se protéger de cette vulnérabilité, les appareils doivent disposer du niveau de correctif de sécurité du 1er novembre 2026 ou d’une date ultérieure. Le niveau du 5 novembre intègre des correctifs supplémentaires pour le noyau Linux et les composants de fabricants de puces, selon les précisions d’Origami.
Toutefois, la disponibilité immédiate de la mise à jour varie selon les fabricants et les opérateurs.
Les terminaux de la gamme Pixel de Google bénéficient d’un accès direct aux correctifs.
Les utilisateurs d’appareils tiers — de marques telles que Samsung, Xiaomi, Motorola ou Honor — dépendent du calendrier de déploiement de chaque constructeur.
Cette asymétrie de distribution crée une période d’exposition prolongée pour de nombreux utilisateurs dont l’appareil n’a pas encore reçu la mise à niveau logicielle nécessaire.
Les flottes professionnelles et les parcs obsolètes exposés
Les flottes d’entreprise et les terminaux utilisés par les journalistes ou les diplomates constituent des cibles privilégiées pour ce type de compromission silencieuse.
Les appareils fonctionnant sous Android 13 ou des versions antérieures ne recevront aucun correctif de sécurité pour cette faille. Le bulletin de Google se limite en effet aux versions 14 à 17.