Le Galaxy S26 de Samsung a été piraté avec succès à sept reprises en seulement trois jours, les chercheurs ayant utilisé une combinaison de vulnérabilités récemment identifiées et de failles déjà connues du fabricant.
Les démonstrations ont eu lieu lors de Pwn2Own Ireland 2026, qui s’est achevé le 8 octobre. Selon les résultats officiels de la compétition de la Zero Day Initiative, les chercheurs ont réussi à compromettre des smartphones et d’autres appareils connectés dans des conditions contrôlées.
BleepingComputer a rapporté que les participants avaient gagné 1 262 000 dollars US après avoir exploité 98 vulnérabilités zero-day au cours de l’événement de trois jours.
Pour les propriétaires de Galaxy, une découverte importante concerne une vulnérabilité dont Samsung avait déjà connaissance, mais qu’il n’avait pas corrigée. Les résultats soulèvent des questions sur la rapidité avec laquelle les failles de sécurité sont corrigées et sur la capacité des dernières mises à jour de Samsung à protéger contre les faiblesses démontrées.
Les sept piratages du Galaxy S26 révèlent des vulnérabilités connues et récemment découvertes
Le Galaxy S26 a été compromis avec succès à sept reprises pendant Pwn2Own Ireland, mais le bilan final raconte une histoire plus complexe que ne le laisse penser ce seul chiffre.
Plusieurs démonstrations ont fait intervenir des collisions de failles, qui se produisent lorsqu’une vulnérabilité découverte par un chercheur recoupe une vulnérabilité déjà signalée à l’organisateur de la compétition ou identifiée au cours du processus de validation. Une collision ne permet pas à elle seule de déterminer quand Samsung a eu connaissance de la vulnérabilité ni si celle-ci avait été corrigée. Elle ne constitue pas nécessairement non plus une faille de sécurité entièrement nouvelle.
Par ailleurs, les résultats de la première journée de la Zero Day Initiative ont confirmé que les chercheurs d’Ikotas Labs avaient réussi à exploiter le Galaxy S26 au moyen de quatre vulnérabilités, dont une dont Samsung avait déjà connaissance, mais qu’il avait laissée non corrigée.
Le chercheur de Viettel Cyber Security Nguyen Thanh Dat a également réussi à compromettre le Galaxy S26 en utilisant quatre vulnérabilités, dont trois étaient déjà connues du fabricant. Ces résultats montrent que certaines chaînes d’attaque réussies incorporaient des vulnérabilités dont Samsung avait déjà connaissance. Toutefois, les résultats de la compétition n’établissent pas que toutes les vulnérabilités connues auparavant n’avaient pas été corrigées au moment des démonstrations.
D’autres chercheurs ont démontré des attaques réussies combinant des vulnérabilités inédites et des collisions.
Lors de la deuxième journée de la compétition, les chercheurs de KAIST Hacking Lab ont compromis le Galaxy S26 en utilisant une vulnérabilité inédite et deux collisions. PetoWorks a également démontré une attaque à distance réussie impliquant trois collisions.
Ces résultats montrent pourquoi sept piratages réussis ne doivent pas être interprétés comme sept vulnérabilités de sécurité totalement distinctes et jusque-là inconnues.
Ils soulignent également l’importance de distinguer les failles récemment découvertes des vulnérabilités déjà connues des chercheurs ou des fabricants. Sur l’ensemble de la compétition, les 98 vulnérabilités zero-day signalées concernaient plusieurs produits et plateformes, et pas uniquement les smartphones de Samsung.
eSecurityPlanet avait précédemment couvert les démonstrations de piratage du Galaxy S26, notamment les chercheurs impliqués et leurs méthodes.
Les résultats finaux soulèvent une autre question : que se passe-t-il lorsque des chercheurs en sécurité peuvent exploiter avec succès des vulnérabilités dont les fabricants savent déjà qu’elles existent ?
Ce que les résultats signifient pour les propriétaires de Samsung Galaxy
Les démonstrations réussies n’établissent pas que des cybercriminels exploitent activement ces mêmes vulnérabilités contre des clients de Samsung.
Les chercheurs de Pwn2Own opèrent dans des conditions contrôlées et respectent les règles de la compétition, qui les obligent à démontrer le fonctionnement d’exploits contre des produits éligibles.
Les résultats mettent néanmoins au jour des faiblesses de sécurité que les fabricants doivent examiner et corriger.
Selon le rapport final de la compétition publié par BleepingComputer, les fournisseurs disposent de 90 jours pour corriger les vulnérabilités divulguées dans le cadre de Pwn2Own, avant que la Zero Day Initiative puisse en publier les détails techniques.
Cette période de divulgation vise à laisser aux fabricants le temps d’examiner les failles signalées, de mettre au point des correctifs et de distribuer les mises à jour. Elle ne garantit pas que chaque vulnérabilité sera corrigée dans un délai de 90 jours.
Samsung a également commencé à distribuer sa mise à jour de sécurité d’octobre 2026 pour la série Galaxy S26, selon les informations d’ Android Central.
Cependant, aucun lien confirmé n’établit que la mise à jour d’octobre corrige toutes les vulnérabilités démontrées lors de Pwn2Own Ireland.
Samsung tient une page officielle consacrée aux mises à jour de sécurité mobile qui répertorie les correctifs de sécurité et les appareils concernés. Tout correctif visant spécifiquement les résultats de la compétition devra être confirmé par des avis ultérieurs ou des divulgations coordonnées.
Pour les propriétaires de Galaxy, cela signifie qu’il reste important d’installer la dernière mise à jour de sécurité disponible, mais qu’il ne faut pas y voir la preuve que chaque vulnérabilité démontrée a été corrigée.
Les propriétaires de Galaxy et les administrateurs informatiques doivent prendre trois précautions :
- Installer les mises à jour de sécurité disponibles. Ouvrez les Paramètres, sélectionnez Mise à jour logicielle et recherchez les derniers correctifs disponibles.
- Vérifier le niveau de correctif installé. Consultez les informations logicielles de l’appareil pour confirmer quel correctif de sécurité Android a été installé.
- Surveiller les avis de sécurité de Samsung. Surveillez les nouvelles vulnérabilités divulguées, les appareils concernés et la confirmation des correctifs associés à la compétition.
Pour les organisations qui gèrent des smartphones Samsung, ces résultats soulignent également l’importance de suivre les mises à jour de sécurité sur les appareils appartenant à l’entreprise.
Les équipes informatiques doivent tenir à jour des inventaires précis des modèles d’appareils, des versions logicielles et des niveaux de correctifs de sécurité, tout en vérifiant que les mises à jour critiques ont bien été déployées sur les téléphones gérés.
Ces résultats reflètent également des difficultés plus générales en matière de sécurité mobile. eSecurityPlanet avait précédemment évoqué les vulnérabilités de OnePlus qui pourraient donner aux attaquants un accès root et la mise à jour de sécurité d’octobre de Samsung.
La principale leçon à retenir de Pwn2Own Ireland est que les attaques réussies peuvent impliquer à la fois des faiblesses récemment découvertes et des vulnérabilités déjà connues des fabricants.
Pour les propriétaires de Galaxy, les sept démonstrations réussies ne prouvent pas que leurs appareils ont été compromis. Elles rappellent que les mises à jour de sécurité, la divulgation des vulnérabilités et le déploiement des correctifs restent essentiels, même pour les smartphones haut de gamme.
En attendant que Samsung confirme quelles découvertes de Pwn2Own ont été corrigées, maintenir les appareils à jour et surveiller les avis de sécurité officiels restent les précautions les plus pratiques.
Pour en savoir plus sur les difficultés de Samsung en matière de sécurité mobile, découvrez comment quatre vulnérabilités de Smart Switch ont mis en danger des données utilisateur sensibles et ce que les propriétaires de Galaxy doivent faire pour protéger leurs appareils.