# GhostMap : installer une application peut bloquer un Android, sans correctif de sécurité

> Bitdefender a reproduit la boucle sur un Pixel 10 sous Android 17. Google a renvoyé le dossier hors des mises à jour de sécurité.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/ghostmap-android-boucle-demarrage-sans-correctif
- Auteur : Kelvyn
- Publié le : 9 novembre 2026 (2026-11-09T04:39:23.311Z)
- Rubrique : Cybersécurité
- Sujets : Google, Pixel, Android, Bitdefender, APK
- Langue : français

## À retenir

- Installer l’application suffit. Elle ne demande aucune permission et ne contient pas de code exécutable, selon Bitdefender Labs, le 5 novembre 2026.
- Le laboratoire a reproduit la boucle sur un Pixel 10 sous Android 17, avec le correctif de sécurité du 5 août 2026. Le défaut concerne Android 10 et les versions suivantes.
- Google a d’abord clos le signalement du 20 août en « Won’t Fix (Not Reproducible) ». Le 25 août, le second envoi a été jugé hors du périmètre d’un correctif de sécurité.
- Bitdefender n’a pas observé cette boucle dans des attaques. Le billet ne publie pas de CVE. Aucun correctif n’était disponible à la date de publication.

Installer une application qui ne demande aucune permission et ne contient aucun code exécutable peut laisser un téléphone Android en boucle de redémarrage, écrit Bitdefender Labs dans un billet publié le 5 novembre 2026. Le laboratoire appelle ce défaut GhostMap. Au moment de la publication, aucun correctif n’était disponible.

## Une installation, puis system_server qui s’arrête

L’enquête commence le 12 août 2026. Un APK recueilli sur le terrain, un dropper bancaire, faisait planter les émulateurs de Bitdefender à l’installation. Rien ne montre que son auteur visait ce plantage : l’installation échouait, et l’application ne restait pas.

Le défaut est ailleurs. Android gère mal deux champs d’une entrée ZIP dans l’APK, la méthode de compression et la taille annoncée une fois le contenu décompressé. Lire cette entrée envoie un signal SIGBUS au processus qui la touche : le processeur a accédé à une zone mémoire invalide. Le billet ne décrit pas une exécution de code, une lecture de données ou une prise de permissions.

La boucle durable, Bitdefender la présente comme son propre travail. Une ressource lue après l’installation fait planter system_server, le processus qui porte une grande partie du système. Android le relance, le service relit la même ressource, et le téléphone ne finit pas de démarrer. Sur un Pixel 10 sous Android 17, correctif du 5 août 2026, le premier plantage arrivait environ une seconde après l’installation. Dans une capture, le cycle s’est répété 110 fois. En mode sans échec, une autre série a compté 72 cycles : le service lit le fichier avant que ce mode ne prenne effet.

Bitdefender a aussi reproduit le défaut à partir d’Android 10. Le redémarrage ne sort pas de la boucle. La remise en état peut exiger une réinitialisation d’usine, qui efface les données locales. Un ordinateur en Android Debug Bridge peut parfois supprimer le fichier entre deux plantages, si le débogage USB était déjà activé. Après le premier redémarrage complet du noyau, cette porte se referme.

## Deux réponses de Google, aucun correctif de sécurité

Le 20 août 2026, Bitdefender a transmis un premier rapport au programme de récompense des vulnérabilités Android & Devices : plantages à l’installation, et plantages d’applications qui analysent l’APK mal formé. Google a clos le dossier peu après, avec le statut « Won’t Fix (Not Reproducible) ». La réponse jointe plaçait l’envoi hors du périmètre du programme.

Le 25 août, un second rapport ajoutait une démonstration de la boucle, sans permission, sans code exécutable, sans que l’application ait besoin d’être lancée. Google a répondu que le problème se situait hors du périmètre d’un correctif de sécurité, et qu’il transmettait le dossier à l’équipe concernée pour un éventuel examen dans une future version du système. Le billet précise que ces formulations reflètent la lecture, par Bitdefender, des messages reçus via le programme, pas une description des processus internes de Google.

Le laboratoire rappelle un précédent plus faible, CVE-2016-6724, corrigé dans le bulletin de novembre 2016. GhostMap, tel que le billet le décrit, n’a pas d’identifiant CVE. Ce cas est distinct du [SMS qui peut faire planter un Android non corrigé](https://klynlabs.eu/articles/android-cve-2026-58882-sms-plante-appel-urgence), et il ne figure pas parmi les 216 failles du [bulletin Android de novembre 2026](https://klynlabs.eu/articles/android-bulletin-novembre-2026-216-failles-23-critiques). Rien, dans les sources lues le 9 novembre, n’indique qu’un correctif ait été publié depuis le 5 novembre.

## Des usages possibles, pas des attaques constatées

Bitdefender juge le risque significatif d’après ses essais. En théorie, une application pourrait rendre le téléphone inutilisable et servir de pression, via la menace d’une réinitialisation. D’autres effets décrits, sans mode d’emploi, viseraient les écrans de désinstallation ou les outils qui inspectent l’APK. Le laboratoire n’a observé aucun de ces scénarios hors de ses essais. Le défaut fait planter des processus. Il n’exécute pas de code.

Faute de correctif, la parade est de reconnaître le fichier avant qu’il ne soit lu : la malformation est visible dans sa structure, sans l’installer. Dans les essais de Bitdefender, Mobile Security le signale sous le nom Android.Riskware.Ghostmap.rA. Android ne laisse pas une application tierce bloquer l’installation ni en supprimer une autre. L’avertissement reste à la charge de l’utilisateur, et le délai est court.

Le conseil est étroit : n’installer que des applications dont l’origine est connue, et ne pas compter sur le mode sans échec si la boucle a commencé. D’autres solutions peuvent détecter le fichier. L’appréciation de Bitdefender, datée du 5 novembre 2026, peut changer si Google publie un correctif.

## Sources

- [GhostMap : The Android flaw that crashes your phone before you open the app](https://www.bitdefender.com/en-us/blog/labs/ghostmap-android), Bitdefender Labs, Alecsandru Cătălin Daj, 5 novembre 2026.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/ghostmap-android-boucle-demarrage-sans-correctif