Google corrige le zero-day du modem Pixel exploité dans des attaques ciblées

La CISA confirme l’exploitation active de la faille Pixel

Google a corrigé une vulnérabilité de niveau élevé dans le Pixel Cellular Modem après avoir découvert des indices d’une exploitation limitée et ciblée.

La faille, référencée sous le nom de CVE-2026-58704, peut permettre à un attaquant de contourner les contrôles de permission et d’élever ses privilèges sans interaction de l’utilisateur. Google n’a pas communiqué l’identité des cibles, l’infrastructure utilisée pour les attaques, la méthode d’exploitation ni la finalité des activités observées.

Le 16 septembre 2026, l’agence américaine chargée de la cybersécurité et de la sécurité des infrastructures a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues. La CISA réserve ce catalogue aux failles pour lesquelles des preuves d’exploitation existent, ce qui fait de cette vulnérabilité un risque opérationnel immédiat plutôt qu’une faiblesse théorique.

Les agences fédérales de l’exécutif civil doivent corriger CVE-2026-58704 avant le 19 septembre 2026. Les autres organisations ne sont pas tenues de respecter cette échéance, mais la CISA les encourage à donner la priorité aux vulnérabilités inscrites au catalogue KEV dans le cadre de programmes de mise à jour fondés sur les risques.

Google classe la vulnérabilité parmi les failles de niveau élevé. Son score CVSS annoncé est de 8,0, avec le vecteur CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Une erreur logique compromet les contrôles de permission du modem

CVE-2026-58704 est une vulnérabilité d’autorisation incorrecte provoquée par une erreur logique dans le code du modem cellulaire. Cette erreur peut permettre à un attaquant de contourner les contrôles de permission prévus et d’obtenir un accès élevé.

La description disponible présente le vecteur d’exploitation comme distant, proximal ou adjacent. Le vecteur CVSS utilise lui aussi un vecteur d’attaque adjacent, AV:A, plutôt que la valeur AV:N, qui correspond à une attaque via le réseau au sens large.

Cette distinction est importante. La vulnérabilité ne doit pas être interprétée comme une attaque Internet sans restriction contre tous les téléphones Pixel accessibles. L’exploitation semble nécessiter un accès depuis un environnement proche, logiquement adjacent ou associé au réseau cellulaire, mais Google n’a pas identifié l’interface radio, le protocole, la position sur le réseau ou l’état du modem précis permettant d’atteindre le code vulnérable.

La complexité de l’attaque est jugée faible et aucune interaction de l’utilisateur n’est requise. La victime n’aurait pas besoin d’ouvrir un document, de suivre un lien, d’installer une application ou d’accepter une demande. La faille pourrait donc être utilisée dans le cadre d’une attaque zero-click.

Le vecteur publié inclut PR:L, ce qui indique que de faibles privilèges sont nécessaires selon le modèle de notation. La description de Google précise également que l’exploitation ne nécessite pas de privilèges d’exécution supplémentaires. En l’absence d’analyse technique ou de chaîne d’exploitation, on ignore quel accès initial ou quelle position contrôlée par l’attaquant permet de remplir ces conditions.

Les métriques d’impact indiquent des conséquences importantes pour la confidentialité, l’intégrité et la disponibilité. Toutefois, aucune source publique n’explique précisément quels privilèges l’attaquant obtient ni si les opérations observées combinaient la faille du modem avec d’autres vulnérabilités.

Les faiblesses affectant le modem sont particulièrement sensibles, car le sous-système cellulaire fonctionne sous une grande partie du modèle de sécurité Android visible par les applications. Une attaque atteignant cette couche peut contourner les vecteurs liés aux applications malveillantes et à l’hameçonnage, qui font généralement l’objet d’une surveillance par les mécanismes de sécurité mobiles.

Les modèles Pixel précisément concernés n’ont pas été communiqués

Google indique que les appareils Pixel et le Pixel Cellular Modem sont concernés, mais les modèles exacts, les versions de firmware et les versions vulnérables des produits n’ont pas été publiés dans la fiche de vulnérabilité disponible.

Le repère pratique pour vérifier la correction est le niveau du correctif de sécurité. Les appareils Pixel pris en charge affichant le niveau de correctif de sécurité 2026-09-05 ou une date ultérieure intègrent les correctifs associés au bulletin Pixel ainsi qu’à la mise à jour de sécurité Android correspondante.

Les utilisateurs peuvent rechercher les mises à jour dans Paramètres > Sécurité et confidentialité, puis utiliser les options de mise à jour disponibles. Les administrateurs de parcs doivent vérifier le niveau de correctif indiqué et ne pas supposer qu’une mise à jour a été installée simplement parce qu’elle a été téléchargée ou planifiée.

La mise à jour Pixel au sens large est conséquente. Elle corrige 109 autres failles de sécurité : 88 vulnérabilités d’élévation de privilèges, 10 problèmes de divulgation d’informations, neuf failles d’exécution de code à distance et deux vulnérabilités de déni de service. Parmi ces failles supplémentaires, 46 sont classées critiques.

Les domaines concernés par cette mise à jour incluent le modem, le bootloader, la pile de téléphonie, l’IP Multimedia Subsystem, le Trusted Execution Environment, le VPU, le GPU, Bluetooth, NFC, pKVM et des composants propriétaires de Pixel. Des failles critiques d’exécution de code à distance ont notamment été signalées dans l’IP Multimedia Subsystem, libpixelimsmedia, le VPU, le modem, le téléphone et BigOcean.

Deux autres vulnérabilités élevées d’élévation de privilèges dans le noyau sont CVE-2026-56914, avec un score de 7,8, et CVE-2026-58773, avec un score de 6,7. Aucune des deux n’est présentée comme le zero-day à l’origine de l’alerte de Google sur les attaques ciblées.

Les victimes et la chaîne d’attaque restent inconnues

La formulation de Google indique une utilisation limitée et ciblée, plutôt qu’une exploitation généralisée. La décision de la CISA d’ajouter la faille au catalogue KEV confirme que les éléments disponibles suffisaient à classer CVE-2026-58704 parmi les vulnérabilités exploitées activement.

Au-delà de ces éléments, l’attribution reste ouverte. Google n’a désigné aucun groupe de menace, fournisseur de solutions de surveillance commerciale, acteur étatique ou opérateur criminel. Le nombre d’appareils concernés, la répartition géographique des victimes et les objectifs des attaques sont également inconnus.

Rien ne permet d’établir si la vulnérabilité du modem a été exploitée seule. Elle a pu constituer une étape d’une chaîne plus vaste, mais aucun rapport d’analyse en bac à sable, aucune reconstitution forensique, aucun code de preuve de concept ni aucune analyse technique de l’exploitation n’a été rendu public.

La combinaison d’un accès au modem, d’un fonctionnement zero-click et d’une activité étroitement ciblée présente des caractéristiques parfois observées dans des opérations sophistiquées de surveillance mobile. Il s’agit d’un élément de contexte, pas d’une attribution. Rien ne permet actuellement d’imputer cette campagne à une entreprise de logiciels espions privés ou à un groupe lié à un gouvernement.

Aucun indicateur de compromission confirmé, signature de détection, domaine malveillant, empreinte de fichier, journal de modem ou artefact propre à CVE-2026-58704 n’est disponible non plus. Les défenseurs ne peuvent donc pas s’appuyer sur une simple recherche d’indicateurs pour déterminer si un téléphone a été ciblé.

L’échéance KEV impose l’application du correctif et l’évaluation d’une compromission

Pour CVE-2026-58704, la CISA demande aux agences d’appliquer les mesures d’atténuation du fournisseur tout en respectant la directive BOD 26-04, Prioritizing Security Updates Based on Risk, ainsi que ses exigences en matière de triage forensique. Les agences doivent également évaluer l’exposition de chaque actif à Internet et suivre les recommandations de la directive concernant l’application des correctifs.

Lorsque les mesures d’atténuation ne peuvent pas être appliquées, la CISA exige de cesser d’utiliser le produit concerné. Les exigences applicables de la directive BOD 26-04 s’étendent également aux services cloud, le cas échéant.

Le volet forensique est important. L’installation d’une mise à jour corrige la vulnérabilité connue, mais ne permet pas de déterminer si une exploitation a eu lieu avant la remédiation. Les agences doivent évaluer la possibilité d’une compromission dans le cadre de la réponse, plutôt que de considérer le déploiement du correctif comme la fin de l’enquête.

Google n’est pas le seul éditeur à avoir récemment fait son entrée dans le catalogue KEV. Au cours des 90 jours précédents, la CISA y a également ajouté CVE-2026-87491 le 9 septembre 2026 et CVE-2026-85046 le 4 septembre 2026, pour le même fournisseur.

Une vulnérabilité Android antérieure, CVE-2025-48595, a été ajoutée au catalogue KEV le 2 juin 2026, avec une échéance de correction fixée au 5 juin 2026 pour les agences fédérales. Cette vulnérabilité distincte d’Android 14, liée à un dépassement d’entier, affichait un score CVSS de 8,4 et pouvait permettre une exécution de code ainsi qu’une élévation locale de privilèges sans interaction de l’utilisateur.

Ce que doivent faire les utilisateurs de Pixel et les équipes de sécurité

Les propriétaires de Pixel doivent installer la dernière mise à jour de sécurité prise en charge et vérifier que l’appareil indique un niveau de correctif correspondant au 2026-09-05 ou à une date ultérieure. Il ne faut pas considérer comme protégés les appareils qui ne reçoivent plus de mises à jour prises en charge.

Les équipes chargées de la sécurité des entreprises doivent recenser chaque appareil Pixel administré, relever son modèle et son niveau de correctif, puis accélérer le déploiement auprès des utilisateurs les plus exposés à une surveillance ciblée. Les groupes prioritaires peuvent inclure les membres des administrations, les dirigeants, les journalistes, les chercheurs et toute autre personne manipulant des informations sensibles.

Lorsqu’une compromission est plausible, les équipes doivent préserver les enregistrements disponibles de la gestion des appareils mobiles, les données de télémétrie de sécurité, les journaux des appareils ainsi que les données pertinentes du réseau ou de l’opérateur avant que les opérations courantes de dépannage n’effacent des éléments de contexte. Un comportement inexpliqué du modem ou de la téléphonie, des redémarrages inhabituels et des transitions de privilèges suspectes peuvent justifier une enquête, mais ne constituent pas des indicateurs confirmés de cette vulnérabilité.

Les organisations doivent également consigner les appareils qui étaient actifs avant l’installation de la mise à jour. Cette période d’exposition peut orienter le triage lorsqu’aucune signature de détection propre à la vulnérabilité n’existe.

La mesure défensive la plus fiable reste la vérification de l’installation du correctif. CVE-2026-58704 a été exploitée, ne nécessite aucune interaction de la victime et affecte un composant disposant d’un accès privilégié aux fonctions cellulaires. Attendre la publication d’un code d’exploitation ou une attribution plus précise laisserait les appareils ciblés exposés sans apporter d’avantage défensif.