La mise à jour de sécurité Android de novembre de Google corrige 216 vulnérabilités, dont une faille critique qui pourrait permettre à des attaquants d’exécuter du code malveillant sans aucune interaction de l’utilisateur.
Les correctifs comprennent environ deux douzaines de failles de niveau critique, couvrant l’exécution de code à distance (RCE), l’élévation de privilèges, la divulgation d’informations et les attaques par déni de service.
Le premier lot, identifié par le niveau de correctif de sécurité du 1er novembre 2026, corrige 119 vulnérabilités dans Android Framework, System et Runtime. Framework compte 65 correctifs, tandis que System en reçoit 53. Le dernier correctif concerne une vulnérabilité de divulgation d’informations dans Android Runtime.
« Le plus grave de ces problèmes est une faille de sécurité critique dans le composant Framework, qui pourrait permettre une exécution de code à distance sans nécessiter de privilèges d’exécution supplémentaires. Aucune interaction de l’utilisateur n’est nécessaire pour l’exploiter », a déclaré Google dans son bulletin de sécurité.
Deux autres vulnérabilités critiques d’exécution de code à distance, CVE-2026-58876 et CVE-2026-58936, touchent Android System.
Le deuxième lot, signalé par le niveau de correctif de sécurité du 5 novembre, corrige 97 autres vulnérabilités touchant le noyau Linux et des composants d’Arm, d’Imagination Technologies, de MediaTek, d’Unisoc et de Qualcomm.
Plus d’une douzaine de ces correctifs concernent des vulnérabilités critiques liées au Bluetooth, à la machine virtuelle protégée basée sur le noyau (pKVM), aux composants d’interface homme-machine (HID), aux modems MediaTek et à un composant propriétaire de Qualcomm.
Le « SMS de la mort » fait également l’objet d’un correctif
Une autre vulnérabilité notable est CVE-2026-58882, une faille critique de déni de service surnommée le « SMS de la mort ».
La vulnérabilité concerne des messages SMS spécialement conçus qui peuvent faire planter le service d’appel d’Android et potentiellement interrompre les appels en cours, y compris les appels d’urgence. eSecurity Planet a précédemment rapporté que le chercheur indépendant Mark Blaszczyk avait rendu le problème public le 29 octobre, après l’avoir signalé à Google en mai.
Google avait précédemment indiqué qu’un correctif était disponible en octobre, bien que la vulnérabilité apparaisse également dans le bulletin de sécurité de novembre. Sa présence ne signifie pas nécessairement que les appareils ayant reçu la correction précédente sont restés exposés, mais les utilisateurs doivent vérifier que leurs appareils ont bien reçu les mises à jour de sécurité applicables.
Samsung prépare son propre correctif de sécurité Galaxy
Samsung a également publié les détails de sa mise à jour de sécurité de novembre, qui combine les correctifs Android avec des protections supplémentaires pour les appareils Galaxy.
Selon SammyGuru, le package corrige 206 vulnérabilités, dont 178 correctifs Android de Google, quatre correctifs de Samsung Semiconductor et 24 vulnérabilités touchant les propres logiciels de Samsung.
Les correctifs propres aux appareils Galaxy couvrent des problèmes liés au chargeur d’amorçage, aux modules de filtrage de l’appareil photo, à Samsung Contacts, au Téléphone, à Messages et aux protections du verrouillage de la carte SIM. Certaines vulnérabilités pourraient permettre des appels non autorisés, exposer des informations sensibles ou permettre l’exécution de code dans certaines conditions. Samsung n’a pas fourni de calendrier précis de déploiement. La disponibilité dépendra du modèle de l’appareil, de l’opérateur et de la région, les mises à jour devant être déployées progressivement.
Ce que le correctif signifie pour les utilisateurs d’Android
La principale inquiétude pour les consommateurs est que certaines vulnérabilités ne nécessitent pas qu’ils ouvrent des liens suspects, installent des applications malveillantes ou approuvent des autorisations inhabituelles pour qu’une attaque puisse réussir.
La faille RCE de Framework est particulièrement préoccupante en raison de ses exigences d’attaque sans interaction. Les utilisateurs d’Android doivent vérifier leurs dates de correctif de sécurité plutôt que de supposer que la réception d’une mise à jour logicielle standard signifie que toutes les vulnérabilités de novembre ont été corrigées.
Le niveau de correctif du 1er novembre couvre les correctifs de Framework et de System, y compris la vulnérabilité liée aux SMS, tandis que le niveau du 5 novembre couvre toutes les vulnérabilités applicables du bulletin de novembre de Google.
Les propriétaires de Pixel doivent vérifier dans les Paramètres si des mises à jour système sont disponibles. Les utilisateurs de Samsung peuvent aller dans Paramètres, Mise à jour logicielle, puis Télécharger et installer. Les autres fabricants peuvent utiliser des noms de menus et des calendriers de publication différents.
Les retards de correctifs restent un problème de sécurité pour les entreprises
Pour les entreprises qui gèrent des appareils Android, la mise à jour de novembre représente un important défi de gestion des correctifs.
Les différences entre les fabricants, les composants matériels, les opérateurs et les calendriers de déploiement régionaux peuvent laisser certains appareils exposés à des vulnérabilités connues même après la publication des correctifs par Google.
Les équipes informatiques des entreprises doivent vérifier les niveaux de correctif de sécurité des appareils gérés, donner la priorité aux mises à jour des téléphones utilisés pour accéder aux e-mails professionnels et aux applications sensibles, et confirmer que les correctifs applicables propres à chaque fournisseur ont été installés.
Les organisations doivent également examiner leurs politiques de gestion des appareils mobiles afin d’identifier les appareils non pris en charge et d’imposer, lorsque c’est possible, des exigences minimales en matière de correctifs de sécurité.
La mise à jour de novembre souligne pourquoi la disponibilité des correctifs ne suffit pas à elle seule. Les entreprises doivent savoir quels appareils ont effectivement reçu les correctifs et lesquels restent vulnérables en attendant les mises à jour.
Dans l’actualité de la sécurité, General Motors a accepté un accord de 220 millions de dollars US avec 36 États américains pour répondre à des accusations selon lesquelles l’entreprise aurait collecté et vendu les données de localisation et de comportement au volant des conducteurs à des courtiers tiers sans consentement approprié, ce qui pourrait permettre aux assureurs d’utiliser ces informations pour ajuster les primes.