Le bulletin de sécurité Android de novembre de Google comprend un correctif pour CVE-2026-58868, une vulnérabilité critique qui pourrait permettre l’exécution de code à distance sans aucune action du propriétaire du téléphone. La faille affecte Android 14 à 17, et le correctif est inclus dans le niveau de correctif de sécurité 2026-11-01 ou ultérieur. Les fabricants d’appareils et les opérateurs distribuent les mises à jour selon leurs propres calendriers.

La vulnérabilité consiste en un dépassement de tampon sur le tas, susceptible de provoquer une écriture hors limites dans la fonction onOutputReceived de FrameDecoder.cpp. Le bulletin de Google et la fiche CVE n’expliquent pas comment un attaquant pourrait accéder au code concerné. La classification « critique » de Google suppose que les protections intégrées à Android et à Google sont désactivées ou contournées.

Au 4 novembre, Google n’avait signalé aucune attaque exploitant les failles répertoriées dans son bulletin. CVE-2026-58868 ne figurait pas non plus dans le catalogue des vulnérabilités exploitées connues de l’Agence américaine de cybersécurité et de sécurité des infrastructures, selon sa mise à jour du 3 novembre. Android 12 et 13 ne sont pas mentionnés comme étant affectés, bien que les registres de Google n’indiquent pas si ces versions présentent la faille.

Pour vérifier le niveau de correctif d’un téléphone, ouvrez les Paramètres, appuyez sur À propos du téléphone ou À propos de la tablette, puis sur Version d’Android, et repérez la date de la mise à jour de sécurité Android. Une date égale ou postérieure au 2026-11-01 couvre CVE-2026-58868 ainsi que les autres failles répertoriées dans les composants Framework, System et d’exécution d’Android. Le niveau 2026-11-05 couvre toutes les vulnérabilités du bulletin, y compris celles qui affectent le noyau et les composants fournis par des fabricants de puces et des entreprises technologiques.

Le bulletin de Google répertorie également CVE-2026-58882, une autre faille critique qui pourrait entraîner un déni de service à distance sans interaction de l’utilisateur. Sa fiche CVE situe le problème dans decodeWapPdu, une fonction utilisée pour traiter les messages WAP Push transmis par SMS. Une analyse publiée par un chercheur le 29 octobre décrivait un bogue dans cette même fonction, mais ni Google ni la fiche CVE ne confirment qu’il s’agit de la même vulnérabilité.

Le bulletin contient 216 vulnérabilités, dont 23 sont classées critiques. Deux autres failles critiques susceptibles de permettre l’exécution de code à distance, CVE-2026-58876 et CVE-2026-58936, se trouvent dans le composant System d’Android. Le niveau de correctif 2026-11-05 corrige également des problèmes critiques dans le noyau, dans le code du modem MediaTek et dans un composant Qualcomm à code source fermé. Le bulletin de Google ne propose aucune solution de contournement pour les téléphones qui n’ont pas encore reçu la mise à jour.

Sources: The Hacker News.