Google a publié le 2 novembre 2026 son bulletin de sécurité Android de novembre. Il recense trois vulnérabilités critiques d’exécution de code à distance, et distingue les correctifs 2026-11-01 et 2026-11-05 ou ultérieurs. Cette date de publication ne donne pas le calendrier de mise à jour d’un téléphone précis. Le bulletin officiel de Google détaille les failles et la couverture de chaque niveau.
Une exécution de code à distance, ou RCE, permet à une faille de faire exécuter du code sur un appareil depuis l’extérieur. Pour les trois RCE recensées, Google indique qu’aucune interaction de l’utilisateur n’est nécessaire à leur exploitation.
Pour connaître la couverture complète du bulletin, le niveau 2026-11-05 ou ultérieur est celui à repérer.
Trois RCE critiques dans Framework et System
Le bulletin distingue une faille dans Framework de deux failles dans System. Les trois sont classées critiques et associées aux mêmes versions Android dans ses tableaux : Android 14, 15, 16, 16-qpr2 et 17.
- CVE-2026-58868, dans Framework : RCE critique, sans interaction de l’utilisateur ni privilège d’exécution supplémentaire requis selon le résumé de Google.
- CVE-2026-58876 et CVE-2026-58936, dans System : deux RCE critiques, elles aussi sans interaction de l’utilisateur requise.
Google précise que son évaluation de gravité suppose que les protections de la plateforme et des services sont désactivées à des fins de développement ou contournées. La mention « critique » s’inscrit dans cette évaluation.
Ce que couvrent les deux niveaux de correctif
Les deux étiquettes indiquent des périmètres différents. Google explique qu’elles laissent aux partenaires Android la possibilité de livrer plus rapidement une partie des correctifs communs à plusieurs appareils.
| Niveau de correctif | Couverture indiquée par Google |
| 2026-11-01 | Les problèmes associés à ce niveau. |
| 2026-11-05 ou ultérieur | Tous les problèmes des bulletins de novembre 2026 et des bulletins précédents. |
Ainsi, 2026-11-05 ou une date ultérieure correspond à la couverture complète décrite pour le bulletin de novembre et les précédents. Le niveau 2026-11-01 désigne un périmètre plus limité. La date inscrite dans le niveau identifie la couverture du correctif, pas le jour où chaque téléphone le reçoit.
Pour vérifier le niveau de sécurité d’un appareil et gérer ses mises à jour, TechFix Guides propose un tutoriel général en anglais. Il aborde la vérification du niveau, l’installation d’une mise à jour disponible, le contrôle de la date après redémarrage et l’activation des mises à jour automatiques. Publiée avant le bulletin de novembre, la vidéo ne traite pas de ces trois CVE.
La publication du bulletin ne fixe pas la date de mise à jour du téléphone
Le 2 novembre est la date de publication du bulletin par Google. Les partenaires Android sont informés des problèmes au moins un mois avant sa publication, puis peuvent livrer les correctifs applicables à leurs appareils. Le bulletin définit les niveaux de correctif, mais ne fournit pas de date de livraison pour un modèle donné.
