Android : le correctif de novembre a deux niveaux à distinguer
Le bulletin de novembre distingue les indices 2026-11-01 et 2026-11-05. Une faille Framework permet une exécution de code sans clic ; vérifiez l’indice installé, pas seulement la version Android.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Sur votre téléphone Android, regardez la date du correctif de sécurité après la mise à jour. Le bulletin publié le 2 novembre donne 2026-11-05 ou ultérieur comme niveau couvrant tous ses correctifs applicables. Le niveau 2026-11-01 couvre un premier ensemble, pas tout le bulletin. Passer à une nouvelle version Android et recevoir tous ses correctifs sont deux vérifications différentes.
Le 1er et le 5 novembre ne couvrent pas le même ensemble
Google sépare les correctifs de la plateforme, associés au niveau 2026-11-01, et un second ensemble comprenant notamment le noyau et des composants de fabricants, associé au niveau 2026-11-05. Un appareil déclarant le premier niveau doit aussi intégrer les correctifs des bulletins précédents. Le second niveau doit inclure tous les correctifs applicables de ce bulletin et des précédents.
Le CERT-FR alerte sur les appareils sans le correctif du 1er novembre. Ce premier repère ne remplace pas le périmètre plus large du 5 novembre décrit par Google. Ne concluez pas que deux téléphones sont au même niveau de correction parce que leurs écrans affichent simplement « novembre ».
| Indice de sécurité | Ce qu’établit le bulletin Google |
|---|---|
| 2026-11-01 ou ultérieur | Premier ensemble et correctifs précédents. |
| 2026-11-05 ou ultérieur | Tous les correctifs applicables du bulletin, y compris le second ensemble. |
Une faille Framework ne demande pas de clic
Le bulletin classe CVE-2026-58868 critique dans Framework, avec exécution de code à distance, sans privilège d’exécution supplémentaire ni interaction de l’utilisateur. Le tableau cite les versions AOSP corrigées 14, 15, 16, 16-qpr2 et 17. La fiche NVD précise une écriture hors limites liée à un débordement de mémoire dans FrameDecoder.cpp. Ces conditions appartiennent à cette faille, pas à chaque entrée du bulletin.
Google évalue la gravité en supposant les protections de la plateforme désactivées pour le développement ou contournées. Le bulletin ne constitue ni un diagnostic de votre téléphone ni la preuve d’une exploitation active de cette CVE. Les mises à jour système Google Play concernent aussi certains composants ; leur date ne suffit pas à établir que tous les correctifs du fabricant sont installés.
Contrôler le résultat sur le modèle utilisé
Préparez votre sauvegarde et vos moyens de récupération, puis utilisez le circuit de mise à jour du fabricant ou de votre administrateur. Après le redémarrage, relevez le modèle, la version Android et l’indice de sécurité réellement affiché. Si la mise à jour n’est pas proposée, faites confirmer la prise en charge et le calendrier de ce modèle : la publication du bulletin ne prouve pas son déploiement sur chaque appareil.
Le bulletin Samsung et la faille de téléphonie « SMS of Death » ont leurs propres lectures ci-dessous. Leur présence dans l’actualité ne remplace pas le contrôle du niveau de sécurité de votre téléphone. SecuFocus a lu les bulletins et la fiche NVD ; aucun appareil ni exploit n’a été testé pour cet article.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- CERT-FR : CERTFR-2026-AVI-1443 ↗cert.cyber.gouv.fr ·
- NVD : CVE-2026-58868, défaut de décodage ↗services.nvd.nist.gov ·
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.