Message de BlockBeats, le 5 novembre : Google a récemment publié l'avis de sécurité Android de novembre 2026, corrigeant plus de 200 vulnérabilités. La plus grave est CVE-2026-58868 (Critique) dans le composant Framework, une vulnérabilité d'écriture hors limites causée par un débordement de tampon d'empilement, située dans la fonction onOutputReceived de FrameDecoder.cpp.
Cette vulnérabilité permet à un attaquant d'exécuter à distance des codes arbitraires, sans interaction de l'utilisateur ni privilèges supplémentaires, constituant une attaque typique de type « Zero-Click ». Une exploitation réussie permettrait à l'attaquant de prendre le contrôle total de l'appareil affecté. Pour l'instant, Google n'a pas confirmé d'exploitation en milieu réel ni vu de preuve de concept (PoC) publique. Les versions affectées incluent Android 14, 15, 16, 16 QPR2 et 17. Les correctifs sont déployés en deux niveaux :
· Niveau de correctif de sécurité ≥ 2026-11-01 : inclut des correctifs pour les composants Framework et System, tels que CVE-2026-58868 ;
Niveau de correctif de sécurité ≥ 2026-11-05 : couvre toutes les vulnérabilités de cette vague, y compris les problèmes au niveau du noyau et des puces MediaTek, Qualcomm, etc.
Le CISO de SlowMist, 23pds, a déclaré que si cette vulnérabilité était exploitée en milieu réel, l'impact serait extrêmement grave. Les appareils Android représentent environ 70 % des smartphones mondiaux ; une exploitation à grande échelle pourrait entraîner la compromission de nombreux appareils. Il est recommandé aux utilisateurs de vérifier et de mettre à jour immédiatement leur système : accédez à « Paramètres → À propos du téléphone → Version Android », et confirmez que le « Niveau de correctif de sécurité » est bien au moins du 2026-11-05 ou supérieur. Les délais de déploiement des correctifs peuvent varier selon les fabricants d'appareils ; il est conseillé de privilégier la mise à jour vers le niveau de correctif complet.