Android : le correctif de novembre vise plus de 200 failles

Google a publié le 2 novembre 2026 son bulletin de sécurité Android du mois. Ce correctif de novembre recense plus de 200 vulnérabilités, réparties entre le système d'exploitation, le noyau Linux et les composants des fabricants de puces. La plus grave, une faille critique dans le composant Framework, pourrait permettre l'exécution de code à distance sans interaction de l'utilisateur.

Une faille critique dans Framework

Selon le bulletin, le problème le plus sévère est une vulnérabilité critique du composant Framework, référencée CVE-2026-58868. Elle pourrait conduire à une exécution de code à distance « sans privilèges d'exécution supplémentaires », et son exploitation ne nécessite aucune action de l'utilisateur. Google précise que cette évaluation suppose que les protections de la plateforme ont été désactivées ou contournées.

Les versions d'AOSP concernées par les correctifs de cette section sont Android 14, 15, 16, 16 QPR2 et 17. La partie System comprend elle aussi plusieurs failles critiques, qui relèvent de l'exécution de code à distance, de l'élévation de privilèges ou du déni de service.

Le bulletin ne signale, à ce stade, aucune exploitation active des failles corrigées, contrairement à certains mois précédents où Google mentionnait une « exploitation limitée et ciblée ».

Deux niveaux de correctif

Comme chaque mois, le bulletin est découpé en deux niveaux de correctif de sécurité :

• 2026-11-01 regroupe les failles du système Android lui-même : Android runtime, Framework et System ;
• 2026-11-05 ajoute les correctifs du noyau et des composants tiers : Arm, Imagination Technologies, MediaTek, Unisoc et Qualcomm, y compris des composants Qualcomm à code fermé.

Dans le noyau, plusieurs failles critiques touchent la pile Bluetooth et pKVM, l'hyperviseur utilisé par Android pour isoler des environnements protégés. Côté fabricants, les failles sont classées selon la sévérité attribuée par chaque fournisseur ; plusieurs vulnérabilités critiques concernent notamment le modem de MediaTek.

Un appareil affichant le niveau 2026-11-05 ou ultérieur est protégé contre l'ensemble des failles du bulletin. Google indique que les correctifs de code source seront publiés dans le dépôt AOSP dans les 48 heures suivant la publication, et que les partenaires Android sont prévenus au moins un mois avant.

Quand arrivera la mise à jour ?

La disponibilité dépend du fabricant. Google publie séparément un bulletin pour ses propres Pixel, tandis que Samsung, Xiaomi ou OnePlus intègrent ces correctifs à leur rythme, parfois avec plusieurs semaines de décalage. Les appareils sous Android 10 ou plus récent peuvent aussi recevoir une partie des corrections via les mises à jour système Google Play, indépendamment du constructeur.

Les téléphones qui ne sont plus suivis ne recevront rien : c'est par exemple le cas des modèles arrivés au terme de leur période de support, comme les Pixel 6.

Que faire

Pour vérifier le niveau de correctif, il faut ouvrir les Paramètres, puis la section Sécurité et confidentialité (l'intitulé varie selon les surcouches) et consulter la date du « niveau de correctif de sécurité Android ». Si elle est antérieure à novembre 2026, il est conseillé de lancer une recherche de mise à jour, ainsi que de la mise à jour système Google Play.

En entreprise, les outils de gestion de flotte permettent de repérer les terminaux restés sur un niveau ancien et, le cas échéant, d'en restreindre l'accès aux ressources sensibles tant qu'ils ne sont pas à jour.