La plus importante mise à jour de sécurité Android de Google depuis des années corrige 129 failles, dont une vulnérabilité zero-day activement exploitée.

La mise à jour Android de mars 2026 de Google corrige 129 failles, dont une faille zero-day de Qualcomm activement exploitée, et exhorte les utilisateurs à installer la version 2026-03-05.

Google vient de déployer sa plus importante mise à jour de sécurité depuis près de huit ans.

Le bulletin de sécurité Android de mars 2026, publié lundi, corrige 129 vulnérabilités du système d’exploitation mobile. Il s’agit du plus grand nombre de correctifs déployés en un seul mois depuis avril 2018.

Mais une vulnérabilité en particulier a mis les équipes de sécurité en alerte maximale : CVE-2026-21385, une faille zero-day que Google confirme être déjà exploitée.

La vulnérabilité se situe dans un composant graphique open source de Qualcomm et affecte 234 puces différentes, selon l’avis de sécurité de Qualcomm . Le groupe d’analyse des menaces de Google a découvert cette faille et l’a signalée à Qualcomm le 18 décembre 2025.

« Il existe des indices laissant penser que la vulnérabilité CVE-2026-21385 pourrait être exploitée de manière limitée et ciblée », a déclaré Google dans son bulletin de sécurité .

Bien que l’entreprise n’ait pas précisé les cibles ni l’ampleur des attaques, la nature technique de la faille la rend particulièrement dangereuse. Il s’agit d’un dépassement de capacité d’entier dans le sous-composant graphique, entraînant une corruption de la mémoire.

Qualcomm a confirmé que des correctifs ont été mis à la disposition des fabricants d’appareils en janvier 2026. « Nous encourageons les utilisateurs finaux à appliquer les mises à jour de sécurité dès qu’elles sont disponibles auprès des fabricants d’appareils », a déclaré un porte-parole de Qualcomm à Bleeping Computer .

Une mise à jour majeure

La mise à jour de mars ne se limite pas à la faille zero-day. Google a corrigé 10 vulnérabilités critiques affectant les composants du système, du framework et du noyau, qui pouvaient permettre l’exécution de code à distance, l’élévation de privilèges ou des attaques par déni de service.

« Le plus grave de ces problèmes est une faille de sécurité critique dans le composant Système qui pourrait permettre l’exécution de code à distance sans nécessiter de privilèges d’exécution supplémentaires », indique le bulletin de Google. « Aucune interaction de l’utilisateur n’est requise pour l’exploitation. »

La mise à jour est divisée en deux niveaux de correctifs de sécurité. Le correctif du 1er mars 2026 corrige 63 vulnérabilités, dont 32 dans le Framework et 19 dans le composant Système. Le correctif du 5 mars 2026 inclut tous les correctifs du premier lot, ainsi que ceux de 66 vulnérabilités supplémentaires affectant les composants du noyau et le matériel d’Arm, Imagination Technologies, MediaTek et Unisoc.

Qui est à risque ?

Si vous utilisez un appareil Android équipé d’une puce Qualcomm (ce qui concerne la grande majorité des téléphones et tablettes Android), vous êtes potentiellement concerné. Cette vulnérabilité affecte les appareils dont le niveau de correctif de sécurité est antérieur au 5 mars 2026.

Les experts en sécurité estiment que les fournisseurs de logiciels espions commerciaux sont les acteurs malveillants les plus susceptibles d’exploiter cette faille. Le caractère « limité et ciblé » des attaques laisse penser que des individus spécifiques, tels que des journalistes, des militants, des représentants gouvernementaux ou des dirigeants d’entreprise, pourraient être visés plutôt que les utilisateurs lambda.

Comment se protéger

Google indique que les appareils fonctionnant sous Android 10 et versions ultérieures peuvent recevoir des mises à jour via Google Play, selon leur configuration. L’entreprise encourage tous les utilisateurs à vérifier le niveau de leur correctif de sécurité dans les paramètres de leur appareil et à installer les mises à jour dès leur disponibilité.

Pour les appareils bloqués sur des versions de correctifs antérieures, Google recommande :

• Évitez d’installer des applications provenant de sources autres que les boutiques d’applications officielles.
• Soyez prudent avec les sites web et les pièces jointes aux courriels.
• Laissez Google Play Protect activé (il est activé par défaut sur les appareils disposant des services mobiles Google).
• Mais ce ne sont que des mesures temporaires. La seule véritable solution est la mise à jour de sécurité elle-même.

Google indique qu’il publiera les correctifs de code source correspondants dans le dépôt du projet Android Open Source dans les 48 heures suivant la publication du bulletin.

https://www.techrepublic.com/article/news-google-android-security-update-129-vulnerabilities/