Aller au contenu
KLYNLABS

Android : le bulletin de novembre 2026 corrige 216 failles, dont 23 critiques

La plus grave, CVE-2026-58868, permet une exécution de code à distance sans action de l’utilisateur sur Android 14 à 17. Toutes les failles ne concernent pas tous les téléphones.

Kelvyn3 min de lecture
Illustration d’un smartphone posé à côté d’une flèche de mise à jour

Photo : Illustration générée par IA (Google Flow)

Le 2 novembre 2026, Google a publié le bulletin de sécurité Android de novembre : 216 vulnérabilités distinctes, dont 23 de gravité critique et 193 de gravité élevée, le niveau de correctif 2026-11-05 couvrant l’ensemble.

La plus sévère, selon le bulletin, est une exécution de code à distance dans le composant Framework. Elle ne demande ni privilège supplémentaire ni action de l’utilisateur. Google précise que cette gravité suppose les protections de la plateforme et des services désactivées, comme dans un cadre de développement, ou contournées.

CVE-2026-58868, un dépassement de tampon dans le décodeur

Cette faille porte le numéro CVE-2026-58868. La fiche OSV ASB-A-486464711, qui reprend l’avis Android, la situe dans la fonction onOutputReceived du fichier FrameDecoder.cpp : une écriture hors limites due à un dépassement de tampon sur le tas. Les versions AOSP concernées sont Android 14, 15, 16, la branche 16-qpr2 et Android 17. Ni le bulletin ni la fiche ne décrivent comment un attaquant atteint ce code.

Le niveau de correctif du 1er novembre 2026 couvre le socle Android. Outre CVE-2026-58868, le composant System y compte sept failles critiques : deux exécutions de code à distance, CVE-2026-58876 et CVE-2026-58936, trois élévations de privilèges, CVE-2026-55275, CVE-2026-55283 et CVE-2026-58984, et deux dénis de service, CVE-2026-58814 et CVE-2026-58882. Cette dernière est celle qui permet à un SMS de faire planter un téléphone non corrigé, y compris pendant un appel d’urgence : nous l’avions détaillée à part.

Noyau, modem, puce : des correctifs qui ne sont pas universels

Le niveau du 5 novembre 2026 ajoute le noyau et les composants des fabricants de puces. Le noyau y apporte six failles critiques : deux élévations dans la pile Bluetooth, CVE-2026-53256 et CVE-2026-89774, une dans le composant HID, CVE-2026-80604, et trois liées à pKVM, la machine virtuelle protégée du noyau, CVE-2026-59044, CVE-2026-59045 et CVE-2026-59048. La plus grave de cette section peut, selon Google, élever les privilèges à distance sans interaction.

Huit failles critiques concernent le modem MediaTek, de CVE-2026-20499 à CVE-2026-20549. Une autre, CVE-2026-25285, vise un composant fermé de Qualcomm. Un téléphone n’embarque pas ces puces toutes ensemble : le total de 216 n’est donc pas le nombre de trous ouverts sur chaque appareil. Le bulletin rappelle aussi que les partenaires Android sont prévenus au moins un mois avant la publication.

Le texte du 2 novembre ne mentionne aucune exploitation constatée chez les clients. Il ne dit pas non plus qu’une chasse a écarté cette hypothèse. L’absence de phrase ne vaut pas un décompte d’attaques.

Quel niveau de correctif chercher

Google Play Protect, activé par défaut sur les appareils avec les services Google, surveille les applications potentiellement nuisibles. Il ne remplace pas le correctif système. Les téléphones qui installent des applications hors du Play Store en dépendent davantage, écrit Google, précisément parce que ce canal échappe au magasin.

Les constructeurs et les opérateurs diffusent ces correctifs selon leur propre calendrier. Un téléphone encore au niveau d’octobre 2026, ou plus ancien, n’a pas ce bulletin, même s’il affiche Android 15 ou 16.

Sources

Tags

Partager

Cet article peut servir à quelqu'un ?

Envoyez-le à un proche en un geste, ou partagez-le sur vos réseaux. Voici la carte qui s'affichera avec votre lien.

Aperçu de la carte de partage : Android : le bulletin de novembre 2026 corrige 216 failles, dont 23 critiques

Votre mot accompagne le lien. Modifiez-le si vous voulez.

À lire ensuite