Une faille de sécurité dans Android, le système de la plupart des téléphones et tablettes qui ne sont pas des appareils Apple, atteint 9,8 sur 10 selon la fiche NVD. La priorité aujourd’hui est de vérifier et d’installer les correctifs de sécurité sur tous les appareils mobiles utilisés pour le travail.
C’est quoi ?
Un défaut d’Android peut permettre de faire exécuter à distance un programme sur un appareil, sans aucun geste de la personne qui l’utilise.
La fiche publiée par la National Vulnerability Database le 2 novembre 2026 décrit CVE-2026-58876 comme un problème de sécurité de la mémoire. Il s’agit d’une erreur dans la façon dont le logiciel gère son espace de travail interne. Toujours selon cette fiche, ce défaut peut mener à une exécution de code à distance : un tiers pourrait faire tourner un programme de son choix sur l’appareil. L’attaque ne demande ni droits d’accès supplémentaires sur l’appareil, ni action de la personne qui s’en sert. C’est un peu comme le chalet qu’on ferme pour l’hiver en croyant tout avoir verrouillé, alors qu’une fenêtre arrière est restée entrebâillée.
Pourquoi c’est grave ?
La note est de 9,8 sur 10 selon la fiche NVD, attribuée par l’organisme déclarant (CNA). Aucune exploitation connue et aucune preuve de concept publique ne sont mentionnées dans cette fiche.
Un téléphone d’affaires contient les courriels et les accès aux comptes en ligne. Un appareil compromis, c’est donc un risque d’arrêt d’activité, de fuite de données et de fraude par courriel. Pour une organisation du Québec, une fuite de renseignements personnels entraîne des obligations légales : la Loi 25 impose un registre des incidents de confidentialité et, selon la gravité, une notification à la Commission d’accès à l’information. La fiche NVD signale par ailleurs d’autres vulnérabilités critiques pour Android dans la même période, dont CVE-2026-58936 et CVE-2026-58968 : mieux vaut traiter le parc dans son ensemble qu’un correctif isolé.
Ça touche qui ?
Le produit visé est Android, édité par Google. Les versions touchées et la version corrigée ne sont pas précisées dans la fiche NVD consultée.
Ce détail doit être confirmé dans le bulletin de sécurité Android de novembre 2026. Dans les faits, toute entreprise d’ici qui travaille avec des téléphones ou des tablettes Android est concernée : un garage dont les techniciens consultent les bons de travail, une clinique dentaire, un transporteur et ses répartiteurs.
Comment vérifier dans mon entreprise ?
Il faut savoir quels appareils servent au travail et à quelle date remonte leur dernier correctif de sécurité.
- Dresser la liste des téléphones et tablettes utilisés pour le courriel et les applications d’affaires, appareils personnels inclus (direction).
- Relever sur chaque appareil la date du correctif de sécurité, dans les paramètres, à la section « À propos du téléphone » (prestataire informatique).
- Consulter le bulletin de sécurité Android de novembre 2026 pour confirmer les appareils et versions visés (prestataire informatique ou fournisseur de l’appareil).
- Activer l’installation automatique des correctifs et écarter les appareils dont la version d’Android n’est plus prise en charge (prestataire informatique).
Mise en situation
Exemple fictif : un transporteur régional d’une douzaine de camions, dont les répartiteurs travaillent toute la journée sur leurs téléphones.
Les appareils n’ont pas reçu de correctif depuis des mois et deux tournent sur une version d’Android qui n’est plus prise en charge. Un appareil est compromis et donne accès à la boîte de courriels de la répartition. La journée se termine sur papier, les clients sont prévenus un à un, des livraisons glissent au lendemain. Il faut ensuite inscrire l’événement au registre des incidents et évaluer si des renseignements personnels ont été exposés.
Quoi faire maintenant
- Inventorier dès cette semaine les appareils mobiles qui accèdent aux courriels et aux données de l’entreprise.
- Installer les correctifs de sécurité disponibles sur chacun de ces appareils.
- Activer les mises à jour automatiques pour ne plus dépendre de la bonne volonté de chacun.
- Remplacer les appareils qui ne reçoivent plus de correctifs de l’éditeur.
- Clarifier qui appeler et quoi consigner si un appareil se comporte anormalement.
FAQ
Aucune exploitation connue : peut-on attendre ?
Mieux vaut ne pas attendre. La fiche NVD ne fait état d’aucune exploitation à ce jour, mais une absence de signalement n’est pas une garantie et la situation peut évoluer. Une note de 9,8 sur 10 justifie de prioriser rapidement les vérifications et l’installation des correctifs.
Mon entreprise est petite, est-ce qu’on nous cible vraiment ?
La taille protège moins qu’on le croit : les appareils non corrigés restent exposés quel que soit le secteur, et les petites organisations ne sont pas à l’écart de ce risque. Le Centre canadien pour la cybersécurité publie des contrôles de cybersécurité de base destinés aux petites et moyennes organisations, dont la mise à jour des appareils.
Les téléphones personnels de nos employés sont-ils concernés ?
Oui, dès qu’ils servent au courriel ou aux applications de l’entreprise. Un appareil personnel utilisé pour le travail peut donner accès aux ressources de l’entreprise, selon les autorisations et la configuration en place, tout en échappant souvent à l’inventaire. Il faut donc l’inclure dans la vérification et s’entendre sur l’obligation d’appliquer les correctifs.
Faille de sécurité dans Android : ce que nous retenons
Une note de 9,8 sur 10 selon la fiche NVD, sans exploitation connue à ce jour : la gravité justifie d’agir sans attendre. Chez RISS Canada, nous y voyons une mesure de continuité commerciale plutôt qu’une tâche informatique secondaire. Elle réduit fortement l’exposition sans supprimer le risque, et méfiez-vous de tout discours qui promet une protection totale.
Sources
- Fiche CVE-2026-58876 de la National Vulnerability Database · NIST, 2 novembre 2026
- Avis de sécurité (source.android.com) · source.android.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-58876
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
