Mise à jour de sécurité Android de novembre 2026 : 216 failles corrigées, dont une sans aucun clic. Les téléphones de vos équipes sont-ils à jour ?

Le 2 novembre 2026, Google a publié le bulletin de sécurité Android de novembre. Il corrige 216 vulnérabilités, dont 23 critiques et 193 de gravité élevée. La plus grave touche le composant Framework : elle permet d'exécuter du code à distance sur un téléphone, sans aucun clic de son propriétaire et sans privilège supplémentaire. Ce qu'il faut faire aujourd'hui est simple : demandez à chaque collaborateur qui ouvre la messagerie de l'entreprise, WhatsApp Business ou une application bancaire sur un téléphone Android d'installer la mise à jour, puis de vérifier que la date « Mise à jour de sécurité Android » dans les Paramètres indique le 5 novembre 2026 ou plus récent. Un téléphone sous Android 13 ou une version antérieure ne recevra pas ce correctif, car le bulletin ne couvre que les versions 14 à 17.

Qu'a corrigé Google, exactement ?

Selon le bulletin de sécurité Android de novembre 2026, les correctifs arrivent en deux niveaux. Le niveau du 1er novembre couvre 119 vulnérabilités, dont 8 critiques, dans des parties centrales du système comme Framework, System et l'environnement d'exécution. Le niveau du 5 novembre couvre 97 vulnérabilités, dont 15 critiques, dans le noyau Linux (31 failles) et dans les composants des fabricants de puces : MediaTek (30), Qualcomm (17 entre parties ouvertes et propriétaires), Imagination (12), Unisoc (4) et Arm (3). Un téléphone au niveau du 5 novembre est protégé contre les failles des deux niveaux.

Google indique que la faille la plus grave (CVE-2026-58868) peut conduire à une exécution de code à distance sans privilège d'exécution supplémentaire et sans interaction de l'utilisateur. La section System compte deux autres failles critiques du même type (CVE-2026-58876 et CVE-2026-58936), ainsi que trois failles critiques d'élévation de privilèges.

Un seul message qui coupe l'appel : la faille WAP Push

Parmi les failles critiques figure un bug de déni de service (CVE-2026-58882). L'article de CyberInsider explique qu'un seul message WAP Push malformé suffit à faire planter le processus téléphonique d'Android, ce qui coupe les appels en cours, y compris les appels d'urgence, sans que le message apparaisse dans la boîte de réception ni que le destinataire ouvre quoi que ce soit. Pire, des messages répétés peuvent relancer le plantage même après un redémarrage. Le point rassurant : l'article ne relève aucune exploitation réelle à ce jour. Mais un code de preuve de concept est public, ce qui signifie que le délai entre la divulgation et les attaques peut être court.

Imaginez un commercial ou un livreur qui vit sur son téléphone toute la journée, et dont les appels sautent chaque fois qu'arrive un message qu'il ne voit jamais. Ce n'est pas une fuite de données, mais c'est le travail qui s'arrête.

Quand la mise à jour arrive-t-elle sur les téléphones Samsung ?

Samsung a publié sa mise à jour de maintenance de sécurité de novembre 2026 le 3 novembre. Elle reprend les correctifs de Google et quatre correctifs de Samsung Semiconductor, et annonce 24 éléments propres aux appareils Galaxy. Mais un bulletin publié ne signifie pas que chaque appareil reçoit la mise à jour le jour même : le déploiement se fait par vagues selon le modèle et la région, et certains modèles plus anciens reçoivent les mises à jour de sécurité tous les trois mois plutôt que tous les mois. Ne vous contentez donc pas de « tu as mis à jour ? ». Demandez la date affichée dans les Paramètres.

5 mesures pour les téléphones de votre entreprise cette semaine

• Listez les téléphones : chaque téléphone Android qu'un collaborateur utilise pour accéder à la messagerie, aux systèmes ou aux applications bancaires de l'entreprise, qu'il s'agisse d'un téléphone professionnel ou personnel.
• Vérifiez la date de sécurité : selon la page d'aide de Google, elle se trouve dans les Paramètres, sous « À propos du téléphone » ou « Sécurité », avec la mention « Mise à jour de sécurité Android ». Visez le 2026-11-05 ou plus récent dès qu'il est disponible pour le modèle.
• Installez aussi la mise à jour du système Google Play : une partie des correctifs du 1er novembre passe par elle, et elle apparaît dans les mêmes paramètres avec sa propre date.
• Traitez les anciens appareils comme un risque connu : un téléphone bloqué sous Android 13 ou une version antérieure est hors de ce bulletin. Tenez-le à l'écart des comptes sensibles de l'entreprise et prévoyez son remplacement.
• Automatisez la règle : les outils de gestion des appareils comme Microsoft Intune permettent de fixer un niveau minimal de correctif de sécurité, de sorte qu'un appareil plus ancien soit bloqué hors de la messagerie et des systèmes jusqu'à sa mise à jour.

L'application Android de votre entreprise est-elle concernée ?

Ces failles se trouvent dans le système d'exploitation lui-même, pas dans votre application : vous n'avez donc pas à modifier votre code à cause d'elles. Mais votre application tourne au-dessus de ce système : si elle affiche des données clients ou encaisse des paiements, un téléphone non corrigé affaiblit la protection que vous avez construite. Certaines applications bancaires utilisent l'API Play Integrity pour refuser les appareils non sûrs, et les applications métier sensibles peuvent faire de même. Et si vous distribuez une application interne hors du store, lisez aussi notre article sur les restrictions de Google sur l’installation hors du store.

Le regard d'Origami

La plupart des intrusions ne commencent pas par le serveur de l'entreprise. Elles commencent par l'appareil d'un collaborateur, qui contient sa messagerie, ses messages et ses mots de passe. La mise à jour mensuelle est gratuite et prend quelques minutes, mais dans une entreprise où personne n'en assure le suivi, elle ne se fait pas toute seule. Faites de la vérification de la date de sécurité un rendez-vous fixe en début de mois, comme l'examen des e-mails suspects que nous avons présenté dans notre article sur les e-mails d’hameçonnage. Lorsque nous développons des applications et des systèmes sur mesure, nous ajoutons un contrôle d'intégrité de l'appareil et de version du système avant d'afficher toute donnée sensible. Pour un audit des appareils de votre équipe ou de votre application, contactez-nous ou découvrez nos services.