Une faille des Pixel s’exploite sans le moindre clic

Il existe une catégorie de failles contre lesquelles la prudence ne sert à rien. Pas de pièce jointe à ne pas ouvrir, pas de lien douteux à éviter, pas d’application à ne pas installer : l’appareil est compromis parce qu’il a reçu quelque chose, et c’est tout. La faille CVE-2026-58704, qui touche les modems cellulaires des téléphones Pixel, appartient à cette famille.

Le modem, cette boîte noire au cœur du téléphone

Le modem est la puce qui parle au réseau mobile. Il tourne avec son propre firmware, souvent fourni par un tiers, et il traite en permanence des données venues de l’extérieur sans que le système d’exploitation ait son mot à dire. C’est pour cette raison qu’une faille de modem est autrement plus gênante qu’une faille d’application : la surface d’attaque est joignable par quiconque sait atteindre l’appareil sur le réseau, et la victime n’a rien à faire pour être atteinte.

La vulnérabilité est classée en sévérité haute. Google indique qu’elle est refermée pour qui applique la mise à jour, sans en préciser davantage.

Trois jours pour corriger

L’agence américaine de cybersécurité a inscrit la faille à son catalogue des vulnérabilités activement exploitées le mercredi 16 septembre, en imposant aux agences fédérales de corriger avant le 19, soit 3 jours. C’est un délai court, et il en dit plus long que le communiqué : on n’impose pas ce rythme à des administrations entières pour une hypothèse d’école.

Les suspects habituels sont nommés sans l’être : groupes d’espionnage étatiques et vendeurs de logiciels espions commerciaux, c’est-à-dire exactement la clientèle qui paie très cher pour une faille sans clic et qui n’a aucun intérêt à s’en servir massivement.

Ce que personne ne dit

Il faut lire la formulation de Google avec attention : la faille « pourrait faire l’objet d’une exploitation limitée et ciblée ». Ce conditionnel est un choix, et il couvre aussi bien une campagne documentée qu’un faisceau d’indices. L’ampleur réelle, le vecteur précis et ce qu’un attaquant obtient une fois entré ne sont pas publics, et ne le seront probablement jamais.

Ajoutons que « zero-click » est devenu autant un argument de communication qu’une description technique, employé par les vendeurs de sécurité comme par les vendeurs d’outils d’interception. La bonne nouvelle, pour le propriétaire de Pixel ordinaire, est que ce genre de faille est trop précieux pour être gaspillé sur lui. La mauvaise est qu’il ne peut rien faire d’autre que mettre à jour.

(Et accessoirement, redémarrer son téléphone de temps en temps reste le geste d’hygiène le plus sous-estimé du monde mobile !)

En bref

• La faille CVE-2026-58704 touche le modem cellulaire des Pixel et se déclenche sans aucune action de l’utilisateur.
• Google la dit possiblement exploitée de façon limitée et ciblée, et affirme qu’elle est corrigée pour qui met à jour.
• L’agence américaine de cybersécurité impose la correction à ses administrations avant le 19 septembre, 3 jours après l’alerte.
• Les profils évoqués sont des groupes d’espionnage et des éditeurs de logiciels espions, pas de la délinquance de masse.
• Le seul geste utile côté utilisateur est la mise à jour, puisque aucune précaution d’usage ne protège d’une faille sans clic.

Sources : The Register, avis de sécurité de Google, catalogue des vulnérabilités exploitées de la CISA.

Le Bien Heureux · Redaction Capibara · Vendredi 18 septembre 2026