Correctifs Android de novembre 2026 : CVE-2026-58868 critique, sans clic de l’utilisateur

La réponse courte : Google a publié le 2 novembre 2026 le bulletin de sécurité Android de novembre. La faille la plus grave, CVE-2026-58868, touche le composant Framework et peut mener à une exécution de code à distance sans interaction de l’utilisateur, sur Android 14, 15, 16, 16-qpr2 et 17. Aucune exploitation active n’est signalée à ce jour. Le maCERT de la DGSSI a publié le 3 novembre le bulletin 70450311/26, avec un risque important et un impact critique. Il faut exiger le niveau de correctif 2026-11-05 sur tous les smartphones et tablettes qui accèdent aux données de l’entreprise.

Dans les PME marocaines, les smartphones Android servent à lire la messagerie, valider des paiements, recevoir les codes de double authentification et échanger avec les clients sur WhatsApp. Ils sont rarement gérés et presque jamais contrôlés. Voici ce que disent Google, Samsung et le maCERT, et ce qu’il faut faire.

Ce que corrige le bulletin de novembre

Google résume ainsi la faille la plus grave : une vulnérabilité critique du composant Framework qui pourrait mener à une exécution de code à distance, sans privilège supplémentaire, et dont l’exploitation ne nécessite pas d’interaction de l’utilisateur. Concrètement, un attaquant n’a pas besoin que la victime clique sur un lien ou installe une application.

Le bulletin classe aussi comme critiques plusieurs autres failles :

• System : deux autres exécutions de code à distance (CVE-2026-58876, dans les Media Codecs, et CVE-2026-58936), trois élévations de privilèges (CVE-2026-55275, CVE-2026-55283, CVE-2026-58984) et deux dénis de service (CVE-2026-58814, CVE-2026-58882) ;
• noyau : des élévations de privilèges dans la pile Bluetooth (CVE-2026-53256, CVE-2026-89774), dans pKVM (CVE-2026-59044, CVE-2026-59045, ainsi que la fuite d’information CVE-2026-59048) et dans HID (CVE-2026-80604). Pour cette section, Google indique que la faille la plus grave pourrait mener à une élévation de privilèges à distance ;
• composants tiers : une faille critique dans un composant Qualcomm à code fermé (CVE-2026-25285) et plusieurs failles critiques dans le modem MediaTek, dont CVE-2026-20519, CVE-2026-20520 et CVE-2026-20545 à CVE-2026-20549. Pour ces composants, la gravité est fournie par le fabricant.

Le bulletin corrige en outre de nombreuses failles de gravité élevée dans les composants Arm, Imagination (PowerVR), Unisoc et Qualcomm.

Produits, versions touchées et versions corrigées

Produit	Versions touchées	Version corrigée
Android (Framework, système, Android Runtime), dont CVE-2026-58868	Android 14, 15, 16, 16-qpr2 et 17	Niveau de correctif 2026-11-01 ou plus récent
Android (noyau et composants Qualcomm, MediaTek, Arm, Imagination, Unisoc)	Appareils utilisant les composants concernés	Niveau de correctif 2026-11-05 ou plus récent
Modules Google Play (Media Codecs, MediaProvider, Profiling, Telephonycore, WiFi)	Android 10 et versions ultérieures	Dernière mise à jour système Google Play
Smartphones et tablettes Samsung Galaxy	Modèles sous Android 14 à 17 sans le correctif de novembre	SMR Nov-2026 Release 1 (bulletin du 3 novembre 2026)

Google précise que les appareils au niveau 2026-11-05 ou plus récent corrigent tous les problèmes de ce niveau et des niveaux précédents. C’est donc le seul niveau à retenir comme critère de conformité. Google annonçait aussi la publication des correctifs dans le code source AOSP dans les 48 heures suivant le bulletin, ce qui permet aux autres fabricants de les intégrer.

Exploitation : ce que l’on sait

Le bulletin de novembre ne contient aucune mention d’exploitation active. À la date de publication de cet article, nous n’avons trouvé aucune des failles critiques de novembre dans le catalogue KEV de la CISA.

Ce n’est pas une raison d’attendre. Une faille exploitable à distance, sans clic de l’utilisateur, est exactement le type de faille recherché pour des attaques ciblées contre des dirigeants, des comptables ou des commerciaux. Une fois le correctif publié, les attaquants peuvent l’étudier pour comprendre la faille, alors que de nombreux appareils ne reçoivent la mise à jour de leur fabricant qu’après Google.

Le bulletin du maCERT

Le bulletin 70450311/26 du maCERT, daté du 3 novembre 2026, s’intitule « Vulnérabilités affectant le système d’exploitation Android ». Il vise Google Android 14, 15, 16, 16-qpr2 et 17 sans le correctif de sécurité de novembre 2026, et liste comme risques l’exécution de code à distance, l’accès à des informations confidentielles, l’élévation de privilèges et le déni de service. Le maCERT a publié séparément un bulletin sur les appareils mobiles Samsung sous Android.

Les mesures d’attente

Pour les appareils qui n’ont pas encore reçu le correctif :

1. Gardez Google Play Protect activé : Google indique qu’il surveille les abus et qu’il est activé par défaut sur les appareils avec les services Google.
2. Installez la dernière mise à jour système Google Play (dans les paramètres de sécurité de l’appareil ; l’emplacement varie selon le fabricant) : elle corrige les modules Media Codecs, MediaProvider, Telephonycore et WiFi sans attendre le fabricant.
3. Désactivez le Bluetooth quand il ne sert pas, puisque deux failles critiques du noyau touchent la pile Bluetooth.
4. N’installez aucune application hors du Play Store et refusez les fichiers APK reçus par messagerie.
5. Limitez l’accès aux données de l’entreprise depuis les appareils non corrigés, par une règle de conformité dans votre MDM ou dans Microsoft Intune.

Les vérifications à faire

• Relever le niveau de correctif de chaque appareil dans Paramètres > À propos du téléphone, ou directement dans la console MDM, qui l’affiche pour toute la flotte.
• Définir une règle de conformité qui exige un niveau de correctif minimal et bloque la messagerie, Teams ou les applications métier sous ce seuil.
• Recenser les appareils en fin de support : un téléphone qui ne reçoit plus de correctifs ne recevra jamais celui-ci.
• Inclure les téléphones personnels utilisés pour le travail (BYOD), souvent oubliés, et les tablettes partagées (accueil, terrain, dépôt).
• Vérifier les applications installées et retirer celles qui ne viennent pas du Play Store ou de Google Play géré.

Notre lecture pour les entreprises au Maroc

Un smartphone d’entreprise donne accès à la messagerie, aux fichiers, aux codes de double authentification et souvent à la banque en ligne. Il mérite le même suivi qu’un poste de travail : inventaire, niveau de correctif minimal, règles d’accès et effacement à distance en cas de perte. Sans gestion centralisée, personne ne sait combien d’appareils tournent encore sur un niveau de correctif dépassé.

Pour aller plus loin, consultez notre guide permanent sur la gestion des smartphones d’entreprise avec un MDM, notre article sur Microsoft Intune pour les PME, notre méthode de gestion des correctifs, notre alerte sur les correctifs macOS et iOS pour les flottes Apple et notre guide des arnaques par hameçonnage qui visent les PME. Si un appareil vous semble compromis, suivez notre plan de réponse à incident pour la première heure.

Comment nous pouvons vous aider

Nous inventorions vos smartphones et tablettes, déployons un MDM ou Microsoft Intune avec une règle de niveau de correctif minimal, bloquons l’accès aux données depuis les appareils non conformes et suivons les mises à jour dans notre supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : Google, bulletin de sécurité Android de novembre 2026, Google, liste des bulletins Android, Samsung, bulletins de sécurité mobile (SMR Nov-2026), maCERT : bulletin 70450311/26 (Android), maCERT : bulletin sur les appareils mobiles Samsung, catalogue CISA KEV, NVD CVE-2026-58868.