# Android : le bulletin de novembre 2026 corrige 216 failles, dont 23 critiques > La plus grave, CVE-2026-58868, permet une exécution de code à distance sans action de l’utilisateur sur Android 14 à 17. Toutes les failles ne concernent pas tous les téléphones. - Source : KLYNLABS (https://klynlabs.eu) - URL : https://klynlabs.eu/articles/android-bulletin-novembre-2026-216-failles-23-critiques - Auteur : Kelvyn - Publié le : 5 novembre 2026 (2026-11-05T23:09:27.399Z) - Rubrique : Cybersécurité - Sujets : Google, Android, Correctif, CVE-2026-58868 - Langue : français Le 2 novembre 2026, Google a publié le bulletin de sécurité Android de novembre : 216 vulnérabilités distinctes, dont 23 de gravité critique et 193 de gravité élevée, le niveau de correctif 2026-11-05 couvrant l’ensemble. La plus sévère, selon le [bulletin](https://source.android.com/docs/security/bulletin/2026/2026-11-01), est une exécution de code à distance dans le composant Framework. Elle ne demande ni privilège supplémentaire ni action de l’utilisateur. Google précise que cette gravité suppose les protections de la plateforme et des services désactivées, comme dans un cadre de développement, ou contournées. ## CVE-2026-58868, un dépassement de tampon dans le décodeur Cette faille porte le numéro CVE-2026-58868. La fiche [OSV ASB-A-486464711](https://osv.dev/vulnerability/ASB-A-486464711), qui reprend l’avis Android, la situe dans la fonction onOutputReceived du fichier FrameDecoder.cpp : une écriture hors limites due à un dépassement de tampon sur le tas. Les versions AOSP concernées sont Android 14, 15, 16, la branche 16-qpr2 et Android 17. Ni le bulletin ni la fiche ne décrivent comment un attaquant atteint ce code. Le niveau de correctif du 1er novembre 2026 couvre le socle Android. Outre CVE-2026-58868, le composant System y compte sept failles critiques : deux exécutions de code à distance, CVE-2026-58876 et CVE-2026-58936, trois élévations de privilèges, CVE-2026-55275, CVE-2026-55283 et CVE-2026-58984, et deux dénis de service, CVE-2026-58814 et CVE-2026-58882. Cette dernière est celle qui permet à un SMS de faire planter un téléphone non corrigé, y compris pendant un appel d’urgence : nous l’avions [détaillée à part](https://klynlabs.eu/articles/android-cve-2026-58882-sms-plante-appel-urgence). ## Noyau, modem, puce : des correctifs qui ne sont pas universels Le niveau du 5 novembre 2026 ajoute le noyau et les composants des fabricants de puces. Le noyau y apporte six failles critiques : deux élévations dans la pile Bluetooth, CVE-2026-53256 et CVE-2026-89774, une dans le composant HID, CVE-2026-80604, et trois liées à pKVM, la machine virtuelle protégée du noyau, CVE-2026-59044, CVE-2026-59045 et CVE-2026-59048. La plus grave de cette section peut, selon Google, élever les privilèges à distance sans interaction. Huit failles critiques concernent le modem MediaTek, de CVE-2026-20499 à CVE-2026-20549. Une autre, CVE-2026-25285, vise un composant fermé de Qualcomm. Un téléphone n’embarque pas ces puces toutes ensemble : le total de 216 n’est donc pas le nombre de trous ouverts sur chaque appareil. Le bulletin rappelle aussi que les partenaires Android sont prévenus au moins un mois avant la publication. Le texte du 2 novembre ne mentionne aucune exploitation constatée chez les clients. Il ne dit pas non plus qu’une chasse a écarté cette hypothèse. L’absence de phrase ne vaut pas un décompte d’attaques. ## Quel niveau de correctif chercher > **À vérifier dans les paramètres. **Le niveau 2026-11-01 traite les failles du socle, dont les trois exécutions de code à distance du Framework et de System. Le niveau 2026-11-05 ajoute le noyau et les composants des fondeurs, et inclut les correctifs précédents. L’intitulé exact du menu dépend du fabricant : la date à lire est celle du correctif de sécurité, pas seulement le nom de la surcouche. Google Play Protect, activé par défaut sur les appareils avec les services Google, surveille les applications potentiellement nuisibles. Il ne remplace pas le correctif système. Les téléphones qui installent des applications hors du Play Store en dépendent davantage, écrit Google, précisément parce que ce canal échappe au magasin. Les constructeurs et les opérateurs diffusent ces correctifs selon leur propre calendrier. Un téléphone encore au niveau d’octobre 2026, ou plus ancien, n’a pas ce bulletin, même s’il affiche Android 15 ou 16. ## À retenir - Le bulletin Android du 2 novembre 2026 corrige 216 vulnérabilités : 23 critiques et 193 de gravité élevée. - CVE-2026-58868, la plus sévère, est une exécution de code à distance sans clic dans le Framework, sur Android 14 à 17. La note suppose les protections désactivées ou contournées. - Le niveau de correctif 2026-11-05 couvre aussi le noyau, MediaTek et un composant Qualcomm. Toutes ces failles ne sont pas présentes sur chaque téléphone. - CVE-2026-58882, le déni de service par SMS, fait partie du même paquet et avait déjà un article dédié. ## Sources - [Android Security Bulletin — November 2026](https://source.android.com/docs/security/bulletin/2026/2026-11-01), Google, publié le 2 novembre 2026. - [ASB-A-486464711](https://osv.dev/vulnerability/ASB-A-486464711), fiche OSV de CVE-2026-58868. - [Un SMS peut faire planter un Android non corrigé](https://klynlabs.eu/articles/android-cve-2026-58882-sms-plante-appel-urgence), KLYNLABS, sur CVE-2026-58882. --- Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/android-bulletin-novembre-2026-216-failles-23-critiques