Google a corrigé une vulnérabilité dans le modem cellulaire de ses smartphones Pixel, qui aurait pu être exploitée dans des attaques « zero‑click », dans le cadre de la mise à jour de septembre qui résout au total 110 failles de sécurité.
Points clés :
- Google avertit que la faille CVE-2026-58704 dans le modem cellulaire des Pixel pourrait faire l’objet d’exploitations ciblées et limitées.
- Cette vulnérabilité « zero‑click » ne nécessite aucune action de l’utilisateur et peut permettre à un attaquant proche d’élever ses privilèges.
- Les appareils Pixel pris en charge recevront le correctif de niveau 5 septembre 2026, qui comble 110 vulnérabilités au total.
Zéro‑day dans le modem des Google Pixel
L’éditeur a signalé cette faille, identifiée sous le numéro CVE-2026-58704, dans son Pixel Update Bulletin publié mardi. Google indique disposer d’indices laissant penser que la vulnérabilité fait l’objet d’exploitations ciblées et limitées, et exhorte tous les utilisateurs à installer sans délai la nouvelle mise à jour sur leurs appareils.
La vulnérabilité se situe dans le modem cellulaire, le composant qui permet au téléphone de se connecter aux réseaux mobiles et à internet. Une erreur de logique dans le code du modem autorise un contournement des permissions, pouvant offrir à un attaquant situé à proximité une élévation de privilèges, sans qu’il ait besoin de droits d’exécution supplémentaires sur le terminal. Aucune interaction de l’utilisateur n’est requise.
La victime n’a pas à cliquer sur un lien ou à ouvrir un fichier malveillant pour que l’intrusion aboutisse. Google a classé la faille en gravité élevée et l’a corrigée en même temps que 109 autres vulnérabilités affectant les Pixel. Tous les appareils encore supportés doivent recevoir le niveau de correctif du 5 septembre 2026, qui intègre également le bulletin Android de septembre plus large.
À lire aussi : Le minage de Bitcoin face à un déficit de 50 % de hashrate, pendant que l’IA capte les capacités
Risque d’attaques type spyware sur les Pixel
Google n’a ni identifié publiquement les attaquants, ni les victimes, ni la personne à l’origine de la découverte de la faille, et n’a pas précisé quand ces attaques ont commencé. Un porte‑parole n’a pas répondu aux demandes de commentaires.
Le scénario est familier. Des analystes ont souligné que la nature « zero‑click » et au niveau du modem de la faille, ainsi que le vocabulaire prudent employé par Google, rappellent des campagnes déjà attribuées à des éditeurs de logiciels espions commerciaux ou à des groupes parrainés par des États. Ces acteurs vendent souvent leurs outils de vol de données à des gouvernements ou services de renseignement, même si rien, dans l’avis de Google, ne rattache pour l’heure ce cas à un groupe précis.
Les failles touchant les modems suscitent une attention particulière. Elles se situent sous le modèle de sécurité applicatif d’Android et gèrent le trafic entre le téléphone et les réseaux des opérateurs ; des chercheurs en sécurité expliquent que les attaquants peuvent ainsi obtenir des accès privilégiés sans avoir recours à des applications malveillantes ni à des campagnes de phishing.
Ce correctif pour les Pixel intervient après un patch publié en juin pour CVE-2025-48595, une vulnérabilité zero‑day dans Android Framework que Google avait traitée après sa détection dans des attaques ciblées. Cette faille permettait déjà à des pirates d’exécuter du code et d’élever leurs privilèges sur les appareils sous Android 14 ou version ultérieure.
