Google a colmaté une faille critique dans le modem cellulaire de ses smartphones Pixel, potentiellement exploitée dans des attaques « zéro‑clic ». Ce correctif s’inscrit dans la mise à jour de septembre, qui traite au total 110 vulnérabilités.
Points clés :
- Google prévient que la faille CVE-2026-58704, au cœur du modem cellulaire des Pixel, ferait l’objet d’attaques ciblées et limitées.
- Cette vulnérabilité « zéro‑clic » ne nécessite aucune action de l’utilisateur et permet à un attaquant proche d’élever ses privilèges.
- Les appareils Pixel pris en charge recevront le correctif daté du 5 septembre 2026, qui corrige 110 failles au total.
Zéro‑day dans le modem des Google Pixel
L’éditeur a signalé la faille, référencée CVE-2026-58704, dans son bulletin de mise à jour Pixel publié mardi. Google y indique disposer d’indices laissant penser que la vulnérabilité fait l’objet d’une exploitation ciblée et limitée, et appelle l’ensemble des utilisateurs à installer la nouvelle mise à jour sans attendre.
La brèche se situe dans le modem cellulaire, le composant chargé de connecter le smartphone aux réseaux mobiles et à Internet. Une erreur de logique dans le code du modem permet un contournement des permissions, ouvrant la voie à une élévation de privilèges par un attaquant situé à proximité, sans droits d’exécution supplémentaires sur l’appareil. Aucune interaction de l’utilisateur n’est nécessaire.
La victime n’a ni besoin de cliquer sur un lien ni d’ouvrir un fichier malveillant pour que l’intrusion réussisse. Google classe la faille en gravité élevée et l’a corrigée en même temps que 109 autres vulnérabilités affectant les Pixel. Tous les modèles encore pris en charge doivent recevoir le correctif de niveau 5 septembre 2026, qui englobe également le bulletin Android de septembre plus large.
À lire aussi : Le minage de Bitcoin fait face à un déficit de 50 % de hashrate, pendant que l’IA capte les capacités
Risque d’attaques espionnes sur les Pixel
Google n’a ni identifié publiquement les attaquants, ni les victimes, ni la personne à l’origine de la découverte de la faille. Le groupe n’a pas non plus précisé depuis quand les attaques sont en cours, et un porte‑parole n’a pas répondu aux demandes de commentaire.
Le scénario rappelle des précédents bien connus. Des analystes ont souligné que la nature « zéro‑clic » et au niveau du modem de la vulnérabilité, combinée à la prudence du langage employé par Google, évoque les campagnes déjà attribuées par le passé à des éditeurs de logiciels espions commerciaux ou à des groupes de pirates liés à des États. Ces acteurs vendent souvent leurs outils de surveillance à des gouvernements et à des services d’enquête, même si rien, dans l’avis de Google, ne rattache formellement cette affaire à un groupe précis.
Les failles touchant les modems sont particulièrement sensibles. Elles opèrent en dessous d’une grande partie du modèle de sécurité applicatif d’Android et gèrent le trafic entre le téléphone et les réseaux des opérateurs. Les attaquants peuvent donc s’en servir pour atteindre des niveaux d’accès privilégiés sans recourir à des applications malveillantes ou à des campagnes de phishing, comme l’ont expliqué plusieurs chercheurs en cybersécurité.
Ce correctif Pixel arrive quelques mois après une mise à jour de juin corrigeant CVE-2025-48595, un zéro‑day au sein d’Android Framework que Google avait traité après sa détection dans des attaques ciblées. Cette vulnérabilité permettait déjà à des pirates d’exécuter du code et de gagner des privilèges accrus sur les appareils sous Android 14 et versions ultérieures.
