Faille WhatsApp Android : galerie photo accessible sans PIN

Un appel vidéo WhatsApp suffit pour contourner l'écran de verrouillage Android

Un chercheur en sécurité du nom de Jose Rodriguez a divulgué début septembre 2026 une vulnérabilité dans WhatsApp pour Android permettant de contourner intégralement l'écran de verrouillage du téléphone et d'accéder à la bibliothèque photo complète de la victime. La manipulation ne requiert aucun outil spécialisé, aucune compétence technique particulière, et peut être réalisée en moins d'une minute par quiconque dispose physiquement du téléphone déverrouillé — un proche, un collègue de bureau, un inconnu dans un café ou un voleur qui récupère temporairement l'appareil.

Le scénario d'exploitation est le suivant : une personne reçoit un appel vidéo entrant WhatsApp alors que son téléphone est verrouillé. Sur l'écran de verrouillage, Android affiche les boutons de réponse et de rejet standard. La personne tenant le téléphone fait glisser le bouton pour accepter l'appel. Une fois la connexion établie, elle appuie sur l'icône d'effets visuels disponible dans l'interface d'appel vidéo. Un menu s'ouvre avec plusieurs onglets : effets, filtres et arrière-plans. En naviguant vers l'onglet des arrière-plans puis en sélectionnant l'option "Créer avec Meta AI" suivie de "Modifier la photo", l'interface ignore le verrou de l'écran et ouvre directement la galerie complète du téléphone.

Cette séquence de manipulation exploite un comportement non intentionnel dans la façon dont WhatsApp gère les permissions système lors d'un appel vidéo actif. Lorsqu'un appel vidéo est en cours, WhatsApp maintient un état de session élevé pour permettre l'accès à la caméra et au microphone. Cet état de permission élevé se propage de façon non contrôlée à l'accès à la galerie photo lorsque la fonctionnalité "Modifier la photo" est invoquée, sans que le système d'exploitation Android ne soit sollicité pour vérifier si l'écran est déverrouillé ou non.

Les tests réalisés par des journalistes et chercheurs indépendants après la divulgation ont confirmé la reproductibilité de la faille sur les appareils Pixel de Google et sur les appareils Oppo. En revanche, les Samsung Galaxy équipés de la surcouche One UI se sont avérés correctement protégés : la tentative de bypass déclenche une demande d'authentification biométrique ou par code PIN avant d'autoriser l'accès à la galerie. Cette variance entre constructeurs s'explique par les différences dans l'implémentation des contrôles de session d'écran de verrouillage, qui relèvent en partie du constructeur et non uniquement d'Android lui-même.

La faille a été signalée à Meta, l'entreprise propriétaire de WhatsApp, ainsi qu'à Google en tant que fabricant du système d'exploitation Android. Aucun des deux n'a encore publié de correctif à la date de publication de cet article. Meta a confirmé avoir reçu le rapport et l'examiner, mais n'a pas communiqué de calendrier de déploiement d'un patch. Cette situation laisse des centaines de millions d'utilisateurs Android de WhatsApp exposés dans l'intervalle.

La bonne nouvelle pour les utilisateurs est qu'une mesure de mitigation efficace existe et peut être appliquée immédiatement sans attendre un correctif. Il suffit de modifier les permissions accordées à WhatsApp dans les paramètres d'Android. En naviguant vers Paramètres > Applications > WhatsApp > Autorisations > Photos et vidéos, et en changeant le réglage de "Autoriser l'accès complet" à "Autoriser l'accès limité", on prive WhatsApp de la capacité à accéder à l'ensemble de la galerie. L'accès limité autorise l'application à afficher uniquement les fichiers que l'utilisateur lui a explicitement partagés, ce qui coupe court au vecteur d'exploitation.

Cette faille s'inscrit dans une série de vulnérabilités de contournement de l'écran de verrouillage Android documentées par Jose Rodriguez, qui s'est spécialisé dans la recherche de ce type de failles sur les principales plateformes mobiles. Des vulnérabilités similaires ont précédemment été trouvées dans d'autres applications populaires exploitant des interfaces d'appel ou de notification pour contourner les protections du système. La récurrence de ces découvertes pointe vers un problème plus profond dans la façon dont Android gère les permissions des applications qui maintiennent des sessions actives en arrière-plan ou depuis l'écran de verrouillage.

WhatsApp revendique plus de 3 milliards d'utilisateurs actifs mensuels dans le monde, dont une large majorité sur Android. La portée potentielle de cette vulnérabilité est donc considérable. Bien qu'elle nécessite un accès physique au téléphone — ce qui limite son exploitation à des scénarios ciblés plutôt qu'à des attaques de masse — elle représente une menace réelle dans des contextes de violence conjugale, d'espionnage professionnel, de contrôle parental abusif ou de vol d'appareil.

Les contournements d'écran de verrouillage : un risque persistant et sous-estimé

La faille WhatsApp révélée par Jose Rodriguez est loin d'être un cas isolé. Ces dernières années, des chercheurs ont régulièrement démontré que l'écran de verrouillage des smartphones — souvent perçu par les utilisateurs comme une protection absolue — peut être contourné via des vecteurs inattendus. Les interfaces d'appel d'urgence, les réponses rapides aux notifications, les contrôles de lecture musicale et maintenant les interfaces d'appel vidéo des applications de messagerie ont tous servi de points d'entrée pour ce type d'exploitation.

Ce problème est structurellement difficile à résoudre pour plusieurs raisons. D'abord, les smartphones modernes cherchent à trouver un équilibre entre sécurité et facilité d'utilisation : permettre de répondre à un appel téléphonique sans déverrouiller son téléphone est une fonctionnalité populaire et pratique. Mais cette fonctionnalité crée une session partielle d'accès à l'application depuis l'écran de verrouillage, et les limites exactes de ce que cette session partielle peut ou ne peut pas faire sont difficiles à définir et à maintenir de façon cohérente à travers toutes les fonctionnalités de l'application.

Ensuite, l'écosystème Android est fragmenté entre de nombreux constructeurs qui personnalisent le système d'exploitation de façon plus ou moins profonde. Le fait que Samsung One UI bloque correctement l'exploit alors que les Pixel ne le font pas illustre cette fragmentation : la sécurité effective dépend non seulement d'Android lui-même et des applications, mais aussi de la couche logicielle ajoutée par chaque constructeur. Cela rend la correction de ce type de vulnérabilités plus complexe et les délais de déploiement des correctifs potentiellement plus longs.

Pour les entreprises qui déploient des appareils mobiles dans leur flotte, cette faille est un rappel que les politiques MDM (Mobile Device Management) doivent inclure des contrôles sur les permissions accordées aux applications de messagerie. L'accès complet à la galerie photo n'est pas nécessaire au fonctionnement nominal de WhatsApp pour la plupart des usages professionnels. Une politique de permissions minimales, appliquée via un outil de gestion de flotte, protège contre ce type de vulnérabilité avant même qu'un patch ne soit disponible et indépendamment du constructeur de l'appareil.

Ce qu'il faut retenir

• La faille permet d'accéder à toute la galerie photo d'un Android verrouillé via une séquence de manipulations dans un appel vidéo WhatsApp — aucune compétence technique requise.
• Les Pixel et Oppo sont vulnérables ; les Samsung Galaxy avec One UI bloquent correctement l'exploit ; aucun patch Meta ou Google n'est disponible à ce jour.
• Protection immédiate : dans Paramètres Android > Applications > WhatsApp > Autorisations, passer "Photos et vidéos" de "Accès complet" à "Accès limité".