Android novembre 2026 : zero-click RCE critique dans le Framework, 216 CVE colmatés

Les faits

Le 2 novembre 2026, Google a publié son bulletin de sécurité Android pour le mois de novembre. Ce cycle mensuel est l'un des plus denses de l'année : 216 identifiants CVE sont répertoriés, dont 23 classés critiques par Google et 193 de gravité haute. Sur l'ensemble de ces vulnérabilités, trois nécessitent une attention immédiate des administrateurs de parcs mobiles.

La faille la plus préoccupante est CVE-2026-58868. Elle réside dans le composant Framework d'Android, plus précisément dans la fonction onOutputReceived du fichier FrameDecoder.cpp. L'erreur est un débordement de tampon de tas (heap buffer overflow) provoquant une écriture hors limites. La conséquence directe est une exécution de code à distance (RCE) sans aucune interaction de la part de la victime : l'attaquant n'a pas besoin que l'utilisateur ouvre un fichier ou clique sur un lien. Google classe cette faille au niveau de gravité Critique.

Les versions Android concernées par CVE-2026-58868 sont les suivantes : Android 14, 15, 16, 16-QPR2 et 17. Ces versions couvrent l'immense majorité du parc d'appareils Android actuellement en circulation. Selon les statistiques de distribution publiées par Google en octobre 2026, Android 14 et 15 représentent à eux seuls plus de 60 % des appareils actifs dans le monde.

Deux autres failles critiques zero-click sont présentes dans le bulletin, CVE-2026-58876 et CVE-2026-58936, toutes deux situées dans le composant System. Au moment de la publication du bulletin, le 4 novembre 2026, ces deux CVE étaient en statut « Awaiting Analysis » sur la base NVD/NIST, sans score CVSS définitif attribué par la CNA. Google les classe néanmoins critiques dans son propre référentiel de sévérité.

Le bulletin de novembre 2026 se distingue par l'implication de composants du fabricant MediaTek. CVE-2026-20499 est une faille critique dans le modem MediaTek : un contrôle de limites manquant provoque une écriture hors limites dans le firmware du modem. Les puces concernées incluent notamment les MT6765 et MT8788, présents dans de nombreux appareils d'entrée et de milieu de gamme distribués en Europe et en Asie. MediaTek a qualifié cette faille de critique dans son propre avis de sécurité publié le même jour.

La société de sécurité blockchain SlowMist a rapidement relayé l'information le 3 novembre 2026, en recommandant fortement à ses utilisateurs de mettre à jour leurs appareils sans délai. SlowMist souligne que la nature zero-click de CVE-2026-58868 la rend particulièrement dangereuse dans les environnements à haute valeur ciblés — portefeuilles crypto, terminaux bancaires mobiles, appareils d'accès VPN.

La chaîne de correctifs s'applique en deux niveaux selon la nomenclature Android. Le niveau 2026-11-01 couvre les composants Android Framework, System et Runtime, incluant CVE-2026-58868. Le niveau complet 2026-11-05 inclut en plus les correctifs des fabricants (MediaTek, Qualcomm, etc.) et les modules noyau. Google recommande aux OEM de déployer le niveau 2026-11-05 en totalité.

À la date de publication de cet article, CVE-2026-58868 n'a pas été ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA. Aucune exploitation active dans la nature n'a été confirmée publiquement. Cela ne doit pas induire un faux sentiment de sécurité : les failles critiques zero-click dans Android Framework ont historiquement été exploitées en l'espace de quelques semaines après leur divulgation publique, notamment par des acteurs étatiques disposant de capacités d'exploitation mobile avancées.

Impact et exposition

Tous les appareils Android 14, 15, 16 et 17 non patché sont potentiellement exposés. Dans un contexte BYOD (Bring Your Own Device), les smartphones personnels utilisés pour accéder aux SI d'entreprise via des applications MDM, VPN ou de messagerie sécurisée constituent une surface d'attaque directe. Les environnements qui s'appuient sur des appareils Android durcis pour des usages critiques — agents de terrain, terminaux de paiement, équipements SCADA mobiles — doivent considérer cette faille comme prioritaire.

Pour les entreprises gérant un parc Android via MDM (Microsoft Intune, VMware Workspace ONE, Jamf), la priorité est de déclencher une campagne de mise à jour forcée et d'auditer le taux de conformité au niveau de correctif 2026-11-05. Les appareils non mis à jour dans les 72 heures doivent être considérés comme non conformes et isolés du réseau d'entreprise.

Recommandations

• Immédiat (24h) : forcer la mise à jour Android via MDM sur tous les appareils managés. Cibler le niveau de correctif de sécurité 2026-11-05 ou ultérieur.
• Court terme (72h) : auditer via votre solution MDM le taux de conformité du parc mobile. Isoler ou signaler les appareils non mis à jour. Vérifier les appareils des équipes SOC, DSI, direction — cibles prioritaires d'une exploitation ciblée.
• Appareils personnels BYOD : communiquer à tous les collaborateurs concernés l'obligation de mise à jour avant accès aux ressources d'entreprise.
• Fabricants : vérifier les mises à jour constructeur pour les appareils équipés de puces MediaTek MT6765 / MT8788 (correctif CVE-2026-20499 spécifique au firmware modem).