Google classe CVE-2026-58868 comme une faille critique d’exécution de code à distance (RCE) dans le composant Framework d’Android. Son bulletin de sécurité de novembre 2026 la répertorie pour Android 14, 15, 16, 16 QPR2 et 17. Google indique qu’une exploitation ne nécessite ni interaction de l’utilisateur ni privilèges d’exécution supplémentaires (bulletin de sécurité Android de Google).
Ce que signifient les dates du bulletin
Google a publié le bulletin le 2 novembre 2026. Le niveau de correctif 2026-11-01 est la rubrique où figure le CVE, tandis que Google précise que le niveau 2026-11-05 ou ultérieur corrige l’ensemble des problèmes du bulletin de novembre.
Ces dates décrivent les niveaux de correctif Android, pas la date de publication du bulletin. Pour cette faille, le repère à rechercher sur l’appareil est donc le niveau installé, en gardant à l’esprit que Google associe le niveau du 5 novembre ou une date ultérieure à la correction de tous les problèmes du bulletin.
Où consulter le correctif installé sur Android
Lifehacker décrit ce chemin dans les paramètres : Paramètres > À propos du téléphone (ou À propos de la tablette) > Version d’Android. Consultez la date du correctif de sécurité affichée. Les noms de menus peuvent varier selon l’appareil.
Cette date correspond au correctif installé sur le téléphone ou la tablette. Le déploiement dépend des fabricants et des opérateurs ; la présence d’un niveau dans le bulletin de Google ne signifie donc pas qu’il est déjà installé sur un appareil donné.
Ce que révèle la PoC publique
Dans son analyse du dépôt public étudié, Mallory décrit une preuve de concept (PoC) de corruption mémoire, et non une charge utile permettant une exécution de code à distance fonctionnelle. La publication d’une PoC ne suffit donc pas, à elle seule, à établir qu’un exploit RCE opérationnel a été démontré.
