Votre téléphone Android peut sembler parfaitement à jour tout en ne disposant pas des correctifs de sécurité les plus importants de septembre.
La mise à jour de sécurité Android de septembre de Google corrige des dizaines de vulnérabilités dans le Framework, le System, le noyau, l'environnement d'exécution et d'autres composants d'Android, notamment des failles critiques susceptibles de permettre l'exécution de code à distance. Les appareils indiquant le niveau de correctif de sécurité du 5 septembre 2026 ou une date ultérieure doivent inclure tous les correctifs applicables couverts par le bulletin Android de septembre de Google.
Mais les mises à jour Android ne parviennent pas à tous les téléphones au même moment. Google, Samsung et les autres fabricants distribuent leurs propres mises à jour : la date du correctif de sécurité affichée sur votre appareil est donc plus importante que le simple fait de savoir quelle version d'Android il utilise.
- La mise à jour Android de septembre corrige des failles de sécurité critiques
- Quels téléphones Android doivent installer le correctif de septembre ?
- Pourquoi le niveau de correctif de sécurité compte plus que la version d'Android
- Comment vérifier si votre téléphone Android doit être mis à jour
- Ce que les utilisateurs d'Android et les équipes de sécurité doivent faire maintenant
La mise à jour Android de septembre corrige des failles de sécurité critiques
Google a publié son Bulletin de sécurité Android de septembre 2026 le 8 septembre. La page du bulletin a été mise à jour le 10 septembre, et l'historique des versions de Google fait état d'une révision datée du 15 septembre, qui a actualisé la liste des problèmes et ajouté des liens vers l'AOSP.
La publication contient des correctifs répartis entre les niveaux de correctif de sécurité du 1er et du 5 septembre.
Parmi les plus graves figurent plusieurs vulnérabilités critiques permettant l'exécution de code à distance et affectant le composant System d'Android. Google indique que la vulnérabilité la plus sévère de cette section pourrait permettre l'exécution de code à distance sans privilèges d'exécution supplémentaires ni interaction de l'utilisateur.
Les composants concernés couvrent Android lui-même et des logiciels de niveau inférieur, notamment l'environnement d'exécution Android, le Framework, le System, le noyau et ses composants, les composants du système Google Play ainsi que les composants matériels des fabricants.
Google indique que les appareils dotés du niveau de correctif de sécurité 2026-09-05 ou d'une version plus récente doivent inclure tous les correctifs applicables des deux niveaux de correctif de septembre, ainsi que ceux des précédents bulletins de sécurité Android.
Cette mise à jour s'inscrit dans une année particulièrement chargée pour la sécurité Android. Plus tôt cette année, Google a corrigé un zero-day Android activement exploité, tandis qu'une autre vulnérabilité Android aurait pu permettre à un attaquant proche d'obtenir un accès à distance à un shell sans clic.
Quels téléphones Android doivent installer le correctif de septembre ?
La réponse courte est simple : les appareils Android pris en charge qui n'ont pas atteint le niveau de correctif de sécurité du 5 septembre doivent vérifier si une mise à jour du fabricant est disponible.
Cela ne signifie pas que tous les téléphones Android recevront le même paquet le même jour.
Google publie les correctifs de sécurité Android, mais les fabricants d'appareils sont chargés d'intégrer les correctifs applicables et de distribuer les mises à jour sur leurs appareils. Ils peuvent également inclure des correctifs supplémentaires pour des vulnérabilités propres à leurs appareils.
Cela crée plusieurs groupes que les utilisateurs d'Android doivent surveiller.
Téléphones Google Pixel : Google a publié son Bulletin de mise à jour Pixel de septembre le 15 septembre. Google indique que tous les appareils Pixel pris en charge recevront le niveau de correctif de sécurité 2026-09-05, qui corrige les problèmes propres aux Pixel mentionnés dans le bulletin de septembre ainsi que tous les correctifs applicables du Bulletin de sécurité Android général de septembre.
Google indique que les appareils Pixel pris en charge commencent à recevoir les mises à jour OTA lors de la publication du bulletin mensuel, mais que la mise à jour peut mettre environ une semaine et demie à parvenir à tous les appareils pris en charge.
Téléphones Samsung Galaxy : Samsung distribue sa version de septembre de la Security Maintenance Release pour les appareils Galaxy concernés. Le paquet combine les correctifs Android de Google avec les correctifs propres à Samsung.
La version de septembre de Samsung inclut des correctifs Android de Google, un correctif de Samsung Semiconductor et 31 éléments Samsung Vulnerabilities and Exposures. Parmi les correctifs propres à Samsung figurent deux dépassements de tampon critiques dans le tas, affectant les décodeurs d'images DNG et JPEG, qui pourraient permettre à des attaquants distants d'exécuter du code arbitraire. Samsung précise que la distribution des correctifs de sécurité peut varier selon la région et le modèle.
Autres fabricants Android : Motorola, Xiaomi, OnePlus et les autres fabricants Android suivent leur propre calendrier de mises à jour de sécurité. Une vulnérabilité figurant dans le bulletin de Google ne concerne pas nécessairement tous les appareils, et les fabricants peuvent regrouper les correctifs Android applicables avec leurs propres correctifs spécifiques à leurs appareils.
Pour ces téléphones, les utilisateurs doivent consulter les informations de mise à jour du fabricant et, plus important encore, le niveau de correctif de sécurité actuel de l'appareil.
Pourquoi le niveau de correctif de sécurité compte plus que la version d'Android
Utiliser Android 17 ne signifie pas à lui seul qu'un téléphone contient les correctifs de sécurité de septembre.
Les tableaux de septembre de Google recensent des vulnérabilités dont les correctifs concernent Android 14, Android 15, Android 16, Android 16 QPR2 et Android 17. Les versions concernées varient selon la vulnérabilité.
La date affichée sous la rubrique de mise à jour de sécurité Android indique le niveau de correctif de sécurité que le fabricant déclare avoir installé. Un appareil indiquant le 1er septembre 2026 doit inclure les correctifs associés au premier niveau de correctif de septembre. Un appareil indiquant le 5 septembre 2026 ou une date ultérieure doit inclure tous les correctifs applicables associés aux deux niveaux de correctif de septembre.
Google utilise deux niveaux de correctif de sécurité afin que ses partenaires Android puissent corriger plus rapidement les vulnérabilités communes à plusieurs appareils, tout en continuant d'inciter les fabricants à regrouper tous les correctifs mensuels applicables dans une seule mise à jour.
Mais les failles du système d'exploitation ne représentent qu'une partie de la surface d'attaque. Les appareils Android peuvent également être ciblés par des vulnérabilités dans les composants matériels, les logiciels des fabricants et d'autres codes propres aux appareils.
Des campagnes récentes ont utilisé des logiciels malveillants plutôt que des exploits du système d'exploitation pour compromettre des téléphones. Le maliciel Android Manic, par exemple, peut voler des identifiants bancaires et transmettre les informations dérobées par l'intermédiaire d'appareils infectés situés à proximité.
Comment vérifier si votre téléphone Android doit être mis à jour
Les utilisateurs d'Android peuvent vérifier la mise à jour de leur système d'exploitation et l'état de leur correctif de sécurité dans l'application Paramètres de l'appareil. Les noms exacts des menus peuvent varier selon le fabricant et la version d'Android.
Sur de nombreux appareils Android, ces informations se trouvent dans :
Paramètres → À propos du téléphone → Version d'Android
Recherchez l'entrée relative à la mise à jour de sécurité Android et sa date.
Si l'appareil affiche un niveau de correctif de sécurité antérieur au 5 septembre 2026, recherchez une mise à jour système disponible auprès du fabricant.
Les propriétaires de Pixel peuvent également rechercher les mises à jour dans :
Paramètres → Système → Mises à jour logicielles
Les propriétaires de Samsung Galaxy peuvent généralement utiliser :
Paramètres → Mise à jour logicielle → Télécharger et installer
Les utilisateurs doivent également rechercher les mises à jour système dans Google Play, car les appareils Android peuvent recevoir séparément via Google Play des mises à jour pour certains composants du système.
Ce que les utilisateurs d'Android et les équipes de sécurité doivent faire maintenant
Pour les particuliers, le chiffre le plus utile dans cette affaire n'est pas la version d'Android inscrite sur la boîte. C'est la date affichée à côté de la mise à jour de sécurité Android.
Si un appareil indique un niveau de correctif de sécurité daté du 5 septembre 2026 ou d'une date ultérieure, son fabricant déclare qu'il inclut tous les correctifs applicables requis par le bulletin Android de septembre de Google. Si la date est antérieure, les utilisateurs doivent rechercher une mise à jour disponible et l'installer dès que le fabricant la publie.
Pour les entreprises, le problème dépasse largement le cas d'un employé qui reporte une notification de mise à jour. Les équipes de sécurité qui gèrent des flottes Android doivent utiliser des outils de gestion des appareils mobiles ou de gestion unifiée des terminaux afin d'inventorier les niveaux de correctif des appareils et d'identifier les téléphones qui prennent du retard sur le calendrier de prise en charge de leur fabricant.
Les appareils qui ne reçoivent plus de mises à jour de sécurité méritent une attention particulière. Un téléphone peut continuer à fonctionner normalement longtemps après que son fabricant a cessé de publier des correctifs, laissant sans solution les vulnérabilités nouvellement découvertes, même lorsque l'utilisateur pense que l'appareil est par ailleurs à jour.
La mise à jour de septembre rappelle donc utilement qu'il faut considérer les dates des correctifs Android comme un élément de la sécurité des terminaux, et non comme une simple maintenance de routine du téléphone. Vérifiez la date du correctif, installez les mises à jour disponibles et déterminez si les appareils plus anciens bénéficient toujours de la prise en charge du fabricant.
Pour les entreprises, tout appareil Android non pris en charge doit être identifié avant qu'une nouvelle vulnérabilité critique ne transforme un téléphone vieillissant en faille de sécurité évitable.
À lire aussi : eSecurity Planet propose une analyse complète de la mise à jour de sécurité de septembre des Galaxy de Samsung.