Google corrige sept vulnérabilités critiques d’Android, dont certaines pourraient permettre une élévation de privilèges ou des attaques par déni de service sans nécessiter d’interaction de l’utilisateur.
Le Bulletin de sécurité Android d’octobre, publié le 5 octobre, détaille 25 vulnérabilités Android distinctes, dont sept sont classées comme critiques. Un bulletin Pixel distinct recense six failles de sécurité supplémentaires affectant les appareils Pixel pris en charge.
Pour les équipes de sécurité qui gèrent des appareils Android, ces mises à jour soulignent l’importance de vérifier les niveaux de correctifs de sécurité plutôt que de supposer que les appareils sont protégés simplement parce qu’ils exécutent Android 17.
Sept vulnérabilités critiques d’Android corrigées
Le bulletin Android d’octobre de Google recense sept vulnérabilités classées comme critiques : une dans le composant Framework et six dans le composant System.
La vulnérabilité du composant Framework, CVE-2026-58865, pourrait entraîner une attaque par déni de service à distance. Google a indiqué que la vulnérabilité la plus grave de la section Framework ne nécessite ni privilèges d’exécution supplémentaires ni interaction de l’utilisateur pour être exploitée. CVE-2026-58865 affecte Android 14, 15, 16, 16 QPR2 et 17.
Les six vulnérabilités critiques du composant System sont les suivantes :
- CVE-2026-55269 : Élévation de privilèges
- CVE-2026-55280 : Élévation de privilèges
- CVE-2026-58835 : Élévation de privilèges
- CVE-2026-58880 : Élévation de privilèges
- CVE-2026-49933 : Déni de service
- CVE-2026-55265 : Déni de service
Google a indiqué que la vulnérabilité la plus grave de la section System pourrait permettre une élévation locale de privilèges sans privilèges d’exécution supplémentaires ni interaction de l’utilisateur.
L’entreprise a également indiqué que les versions plus récentes d’Android intègrent des améliorations de sécurité qui compliquent l’exploitation de nombreuses vulnérabilités, et elle a encouragé les utilisateurs à installer la dernière version d’Android disponible pour leurs appareils.
Google a présenté Google Play Protect comme une couche de protection supplémentaire contre les applications potentiellement dangereuses, en particulier pour les utilisateurs qui installent des applications en dehors de Google Play.
La mise à jour Pixel corrige trois vulnérabilités critiques supplémentaires
Le bulletin de mise à jour Pixel d’octobre de Google répertorie six autres vulnérabilités affectant les appareils Pixel pris en charge.
Trois sont classées comme critiques :
- CVE-2026-55330 : Une vulnérabilité critique permettant une élévation de privilèges et affectant le Bluetooth.
- CVE-2026-56952 : Une vulnérabilité critique permettant une élévation de privilèges dans le composant GDMC.
- CVE-2026-55307 : Une vulnérabilité critique de divulgation d’informations affectant GSA.
Le bulletin recense également deux vulnérabilités de gravité élevée du noyau permettant une élévation de privilèges, CVE-2026-56906 et CVE-2026-56936, ainsi qu’une vulnérabilité de gravité élevée entraînant une divulgation d’informations, CVE-2026-0198, qui affecte GDMC.
Les bulletins Android d’octobre et les bulletins Pixel n’identifient aucune de ces vulnérabilités comme étant activement exploitée dans la nature.
Les appareils Pixel pris en charge dotés d’un niveau de correctif de sécurité daté du 5 octobre 2026 ou d’une date ultérieure corrigent les vulnérabilités recensées dans le bulletin Pixel comme dans le Bulletin de sécurité Android d’octobre. Google encourage les propriétaires de Pixel à accepter la mise à jour dès qu’elle sera disponible.
La mise à jour Android 17 corrige également des bugs sur les Pixel
Google a commencé à déployer sa mise à jour Android 17 d’octobre sur les appareils Pixel pris en charge le 6 octobre, selon 9to5Google.
Au-delà des correctifs de sécurité, la mise à jour inclut trois corrections fonctionnelles. Les familles Pixel 8 à Pixel 11 bénéficient d’un correctif pour un problème susceptible d’empêcher l’affichage du clavier virtuel dans certains champs de recherche. Les familles Pixel 8 à Pixel 10 bénéficient d’un correctif concernant des bruits ou des distorsions de sonnerie lors de certains appels VoIP.
La famille Pixel 11 bénéficie également d’un correctif pour un problème qui enregistrait parfois les photos ou les vidéos dans la mauvaise orientation. Google distribue progressivement les mises à jour Pixel par liaison radio, leur disponibilité peut donc varier selon l’appareil et l’opérateur.
Les équipes de sécurité doivent vérifier les niveaux de correctifs Android
Pour les organisations qui gèrent des terminaux Android, le chiffre important en octobre est le niveau de correctif de sécurité, et non la simple version d’Android.
Les appareils indiquant le niveau de correctif de sécurité du 1er octobre 2026 doivent inclure les correctifs pour tous les problèmes associés à ce niveau, ainsi que ceux des problèmes signalés dans les précédents bulletins de sécurité Android. Les appareils Pixel pris en charge mis à jour avec le niveau de correctif du 5 octobre corrigent tous les problèmes recensés dans le bulletin Pixel d’octobre de Google et dans le Bulletin de sécurité Android d’octobre.
Les équipes de sécurité doivent dresser l’inventaire des appareils Android gérés, vérifier leurs niveaux actuels de correctifs de sécurité et, lorsque cela est possible, utiliser des outils de gestion des appareils mobiles ou de gestion unifiée des terminaux afin d’identifier les appareils qui ne respectent plus les exigences de correctifs de l’organisation.
La publication d’octobre fait suite à la mise à jour de sécurité Android de septembre de Google, qui corrigeait également des vulnérabilités critiques sur les appareils Android. Le suivi mensuel des niveaux de correctifs de sécurité peut offrir une vision plus précise de l’exposition des terminaux que la seule vérification de la version du système d’exploitation.
À lire aussi : pour en savoir plus sur la sécurité Android, découvrez comment Android 17 ajoute de nouvelles protections conçues pour préserver les preuves des attaques de logiciels espions.