La mise à jour Android de novembre corrige une faille qui n'exige même pas un tapotement

Google a publié son bulletin de sécurité Android de novembre le lundi 2 novembre, et la première entrée est de celles qui comptent : CVE-2026-58868, un débordement de tas dans une partie du Framework qui décode les images vidéo. Google la classe critique, car elle pourrait permettre à un attaquant d'exécuter du code à distance sur un téléphone, sans autorisation supplémentaire et sans aucune action de votre part. Elle touche Android 14, 15, 16 et 17. Google n'a pas précisé comment un attaquant atteindrait le code fautif et, mercredi, aucune attaque l'exploitant n'avait été signalée.

C'est l'un des 216 correctifs, dont 23 critiques, parmi lesquels deux dans le Bluetooth et une série dans le code des puces MediaTek et Qualcomm. Le bulletin mentionne aussi officiellement CVE-2026-58882, le bug « SMS of Death » dont nous avons parlé lundi. Son correctif avait déjà été diffusé discrètement en octobre, il est désormais officiel.

Pourquoi se presser si rien n'a été exploité ? Parce qu'une fois un correctif public, les attaquants remontent à la faille à partir de lui. Cette semaine, la société de sécurité Sekoia a décrit une campagne qu'elle attribue à APT29, le groupe russe aussi appelé Midnight Blizzard, qui a placé du code d'exploitation sur des sites piratés et des sites imitant de vrais sites. Les téléphones qui les visitaient étaient identifiés puis attaqués automatiquement, sans le moindre tapotement. Toutes les failles utilisées étaient déjà corrigées. Les victimes étaient des iPhone restés sous iOS 16.7 ou 18.5 et des téléphones Android avec Chrome en version 139 à 145, et les attaquants visaient les données WhatsApp et Telegram, les mots de passe enregistrés, les photos et la localisation.

Allez donc dans Paramètres, puis À propos du téléphone, et cherchez la date de la mise à jour de sécurité Android. Il vous faut au minimum 2026-11-01, et 2026-11-05 couvre l'ensemble du bulletin. C'est le fabricant de votre téléphone qui décide du moment de sa diffusion : si elle n'est pas encore là, revérifiez la semaine prochaine, et profitez-en pour mettre Chrome à jour depuis le Play Store. Sur PC, la recherche de mises à jour de Tendvane et ses mises à jour d'applications via winget font le même travail : elles vous montrent les correctifs qui existent déjà mais n'ont pas encore été installés.