Le 3 novembre 2026, INCIBE-CERT a publié son résumé du bulletin de sécurité Android de novembre : 216 vulnérabilités, dont 23 critiques et 193 de gravité élevée. Selon l’alerte, le niveau de correctif 2026-11-05 ou ultérieur couvre tous les problèmes répertoriés ; 2026-11-01 ne couvre que le premier groupe de corrections. Lire l’alerte d’INCIBE-CERT.
Ce bulletin fait suite à l’alerte Android d’octobre publiée par NeoTeo, qui portait sur un autre ensemble de failles.
Les versions Android concernées varient selon les failles
L’alerte recense 216 CVE, c’est-à-dire des identifiants attribués à des vulnérabilités informatiques. Elle cite Android 14, 15, 16, 16 QPR2 et 17 pour les composants AOSP concernés. L’applicabilité dépend de chaque CVE. Le bulletin couvre aussi des composants du noyau Linux et de fournisseurs comme MediaTek et Qualcomm.
Le niveau 2026-11-05 couvre toutes les failles listées
INCIBE-CERT indique que 2026-11-01 correspond au premier groupe de corrections, tandis que 2026-11-05 ou une date ultérieure couvre tous les problèmes du bulletin. Il s’agit du niveau de correctif associé à la couverture complète, pas d’une indication sur l’installation de la mise à jour sur un appareil donné.
Les failles critiques n’ont pas toutes le même impact
Trois vulnérabilités du Framework Android, CVE-2026-58868, CVE-2026-58876 et CVE-2026-58936, pourraient permettre l’exécution de code à distance sans privilèges supplémentaires ni interaction de l’utilisateur, selon INCIBE-CERT.
D’autres failles critiques sont décrites avec des effets ou des conditions différents. Huit CVE touchant des modems MediaTek sont associées à un risque d’élévation de privilèges lorsque l’appareil se connecte à une station de base contrôlée par un attaquant. Le nombre de vulnérabilités critiques ne signifie donc pas que chacune permet la même attaque.
Le statut d’exploitation est celui du 3 novembre
À la publication de son alerte, le 3 novembre, INCIBE-CERT indiquait qu’aucune des 23 vulnérabilités critiques n’était exploitée. L’organisme précise que cette situation peut évoluer.
Les 23 failles critiques représentent environ 10,6 % des 216 CVE recensées. Cette proportion décrit la part des entrées classées critiques dans le bulletin ; elle ne mesure pas la probabilité qu’un appareil soit compromis.
