Google corrige CVE-2026-58704, une faille zero-day du modem des Pixel exploitée activement

Google a corrigé une faille zero-day de gravité élevée dans le modem cellulaire de ses téléphones Pixel, et la faille était déjà exploitée dans un ensemble restreint d'attaques au moment de la publication du correctif. La vulnérabilité est suivie sous la référence CVE-2026-58704. Google l'a divulguée dans son bulletin de sécurité Pixel de septembre 2026, publié le 15 septembre 2026. Le lendemain, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille à son catalogue des vulnérabilités exploitées connues, laissant aux agences fédérales trois jours, jusqu'au 19 septembre, pour agir.

À lire aussi: Le Patch Tuesday d'octobre 2026 de Microsoft établit un record avec 1 407 correctifs · Une faille d'authentification de Rejetto HFS trouvée par IA attire des tentatives d'exploitation.

La faille se situe dans le sous-composant Modem, la partie de la pile logicielle du téléphone qui dialogue avec les réseaux cellulaires. La fiche de Google la décrit comme un contournement d'autorisation dû à une erreur de logique dans le code, avec une autorisation inappropriée et une défaillance d'un mécanisme de protection parmi les faiblesses sous-jacentes. L'effet est une élévation de privilèges. Un attaquant capable d'atteindre le téléphone via un réseau adjacent ou proche, en ne disposant au départ que de privilèges de base, peut accéder à un niveau d'accès supérieur. Aucune interaction de l'utilisateur n'est nécessaire, et l'attaque n'exige ni privilèges d'exécution supplémentaires ni complexité inhabituelle.

« Adjacent ou proximal » est la formule à retenir. Elle désigne quelqu'un d'assez proche de la cible pour interagir avec elle par un chemin radio ou réseau local, et non un attaquant situé n'importe où sur l'internet ouvert. Cela réduit le risque pour le grand public et le concentre sur les personnes qui valent la peine qu'on s'en approche.

Google dit que l'exploitation est limitée et ciblée

L'avis de Google comporte une réserve précise plutôt qu'un avertissement général : « Des éléments suggèrent que CVE-2026-58704 pourrait faire l'objet d'une exploitation limitée et ciblée. » L'entreprise n'a nommé aucun attaquant, aucune victime ni aucune campagne derrière cette activité. Il s'agit de l'une des plusieurs failles zero-day Android activement exploitées en 2026, et « limitée et ciblée » est la formule que Google emploie lorsqu'il estime qu'une faille sert contre des personnes particulières plutôt que d'être diffusée dans la population.

L'absence d'acteur nommé oriente la lecture de la menace. Une exploitation ciblée du modem renvoie souvent à un fournisseur de surveillance, à un groupe lié à un État ou à une opération à motivation financière visant des appareils précis. Le dossier public ne dit pas lequel s'applique ici, et ni la fiche CVE ni le bulletin Pixel ne nomment d'adversaire. Ce que le dossier établit, en revanche, c'est que la faille n'était pas théorique au moment de sa correction.

110 correctifs dans un seul bulletin Pixel

La faille zero-day figurait parmi 110 vulnérabilités traitées dans le bulletin Pixel de septembre 2026. Selon BleepingComputer, qui a analysé la publication, la mise à jour corrige 12 failles d'exécution de code à distance et 89 problèmes d'élévation de privilèges classés critiques ou élevés, en plus de CVE-2026-58704. C'est une récolte mensuelle volumineuse pour une seule gamme d'appareils, et cela montre que le modem n'était pas la seule partie de la pile à poser problème.

La plupart de ces 89 correctifs d'élévation de privilèges relèvent de la même grande catégorie que la faille zero-day : des faiblesses permettant à du code exécuté à un niveau d'atteindre un autre. La très grande majorité ne fait jamais l'objet d'une exploitation réelle et est corrigée sans bruit. Ce qui distingue CVE-2026-58704, c'est la preuve de son utilisation. Google estimait qu'elle était exploitée, et la CISA en est convenu assez vite pour la placer dans le délai imposé au fédéral.

Pourquoi la CISA a fixé un délai de trois jours

La CISA a ajouté CVE-2026-58704 au catalogue KEV le 16 septembre 2026, avec une échéance de remédiation au 19 septembre 2026. Trois jours est inhabituellement court, même au regard des standards du catalogue, et cela reflète à la fois la gravité de la faille et le composant concerné. Les agences civiles fédérales doivent corriger la faille au titre de la BOD 26-04. TechRepublic a présenté ce délai fédéral de trois jours comme un signe de la façon dont l'agence a pesé le risque.

La directive opérationnelle contraignante 26-04 régit la manière dont la CISA oblige les agences civiles fédérales à combler les vulnérabilités exploitées connues, et les délais qu'elle fixe varient selon la gravité et l'exposition. Une fenêtre de trois jours compte parmi les issues les plus courtes que produit ce processus. Le catalogue est public, et les équipes de sécurité hors gouvernement y voient souvent une inscription comme un signal de priorisation. Placer CVE-2026-58704 dans ce catalogue le 16 septembre, avec une échéance au 19 septembre, a rangé la faille dans la tranche la plus urgente.

La CISA a décrit cette catégorie de faille comme « un vecteur d'attaque fréquent » qui « pose des risques importants pour l'administration fédérale ». Le code de bande de base et de modem a gagné cette réputation au fil des années de recherche. Il s'exécute sur un processeur distinct, traite par conception des données non fiables issues des réseaux radio, et a historiquement fait l'objet de moins d'examen que le système d'exploitation qui repose dessus. Un bug qui offre à un attaquant une élévation de privilèges depuis un chemin radio proche est exactement le type de problème que le processus KEV existe pour obliger les agences à combler dans un délai donné.

Comment fonctionne un contournement de privilèges au niveau du modem

Les smartphones répartissent leur travail entre deux processeurs. Le processeur de bande de base gère la communication radio, tandis que le processeur applicatif fait tourner Android et les applications. Le micrologiciel du modem analyse les signaux provenant des antennes-relais, et une faille qui met en échec une vérification d'autorisation peut permettre à un attaquant disposant d'un point d'appui du côté radio d'atteindre l'intérieur de l'appareil plus profondément que la conception ne le prévoit. Google classe le résultat comme une élévation de privilèges : l'attaquant part des privilèges de base disponibles sur un réseau adjacent et termine avec davantage.

La distinction entre une attaque adjacente et une attaque à distance compte. Une attaque adjacente exige une proximité ou une position sur un réseau partagé, comme une fausse station de base ou un nœud local compromis, et non une connexion depuis n'importe où sur l'internet. Elle est plus difficile à monter qu'une campagne d'exploitation de masse, ce qui correspond à l'affirmation de Google selon laquelle l'exploitation a été limitée et ciblée. Cela signifie aussi que la faille préoccupe davantage les personnes que l'on peut approcher physiquement ou prendre spécifiquement pour cibles que le grand public.

Ce que doivent faire les propriétaires de Pixel

Le correctif est livré dans la mise à jour de sécurité Pixel de septembre 2026. Installer cette mise à jour et redémarrer le téléphone si cela est proposé constitue la parade, et les appareils pris en charge la reçoivent par le canal standard de mise à jour à distance. Comme la faille peut être déclenchée sans aucune action de l'utilisateur, retarder l'installation laisse l'appareil exposé tant que le correctif n'est pas appliqué.

Les organisations qui gèrent des parcs de Pixel doivent traiter le bulletin de septembre comme une priorité plutôt que comme un cycle mensuel de routine. La catégorie d'élévation de privilèges couverte par la plupart des 110 correctifs n'exige pas qu'un utilisateur ouvre un fichier ou clique sur un lien, ce qui signifie que les conseils habituels de sensibilisation au hameçonnage ne réduisent en rien l'exposition ici. L'état de correctif, et dans les environnements à haut risque l'attention portée à qui peut approcher physiquement ou par radio un appareil, sont les contrôles qui comptent.

Pourquoi les failles de modem continuent d'apparaître

Les failles de modem se situent à une frontière inconfortable de la sécurité mobile. Le processeur de bande de base accepte des signaux d'antennes-relais contrôlées par les opérateurs, ce qui signifie qu'il doit analyser des données provenant d'une source en laquelle le téléphone ne peut pas totalement avoir confiance, et il le fait en dehors du processeur applicatif principal. Les chercheurs ont trouvé au fil des ans des classes récurrentes de bugs de mémoire et de logique dans cette couche, et les fournisseurs ont répondu par du durcissement, du marquage mémoire et des programmes de primes aux bugs. Le résultat est moins de découvertes faciles, et non aucune.

CVE-2026-58704 est une erreur de logique, et non une faille de corruption de mémoire, ce qui rappelle que durcir une classe de bugs ne ferme pas les autres. Les erreurs d'autorisation peuvent subsister dans du code par ailleurs bien protégé, et elles peuvent être tout aussi utiles à un attaquant. La description de Google pointe une vérification absente ou incorrecte, et non un tampon corrompu, et le gain était une élévation complète de privilèges depuis un point de départ sans privilèges sur un réseau adjacent.

Ce schéma aide à comprendre pourquoi les bulletins mensuels restent volumineux. Les fournisseurs passent des années à ajouter des défenses contre les classes de failles qui leur nuisent le plus, et l'effort se traduit par moins de ces bugs. Il n'élimine pas les catégories qui n'étaient pas la priorité, et il n'empêche pas du nouveau code d'introduire de nouvelles erreurs. Les 110 correctifs du bulletin Pixel de septembre sont le résidu visible de ce travail continu, et la seule faille exploitée est la partie qui a franchi tous les contrôles précédents.

Ce qu'il faut surveiller

Trois éléments méritent d'être suivis. Le premier est l'attribution. Google n'a pas dit qui a exploité CVE-2026-58704, et si un fournisseur de sécurité la relie à une campagne connue, cela modifierait la lecture du risque pour les utilisateurs à haut risque comme les journalistes, les militants et le personnel gouvernemental. Le deuxième est de savoir si Google ajoute des détails techniques sur l'erreur de logique précise, ce qui permettrait aux défenseurs d'évaluer comment des bugs similaires pourraient être trouvés ailleurs dans le code du modem. Le troisième est de savoir si d'autres failles liées apparaîtront dans le bulletin Pixel d'octobre, car corriger un chemin d'élévation de privilèges attire parfois l'attention sur les chemins voisins.

Se pose aussi la question de l'ampleur. Google n'a pas dit combien d'appareils ou d'utilisateurs ont été touchés, et « exploitation limitée et ciblée » ne précise aucun nombre. Si un avis futur chiffre la campagne ou nomme les organisations concernées, cela indiquerait aux défenseurs si le risque s'est limité à une poignée d'individus ou s'est étendu. Tant qu'un tel détail n'apparaît pas, la lecture raisonnable est celle qu'offre le fournisseur : une exploitation réelle, délibérément étroite dans sa cible.

D'ici là, les faits pratiques sont établis. Une faille de modem de gravité élevée existait, elle a été corrigée le 15 septembre 2026, et l'agence de cybersécurité du gouvernement américain l'a jugée assez urgente pour exiger une remédiation en trois jours. Cette combinaison, une exploitation ciblée et un délai très court, est l'expression la plus claire de l'évaluation de la faille. Pour les propriétaires de Pixel, l'action est la même, que les attaques aient visé quelques personnes ou beaucoup : installer la mise à jour de septembre, redémarrer le téléphone et vérifier le niveau de correctif de l'appareil.

Image de couverture : « Pixel 9 et Pixel 9 Pro » par ShoAndTech, CC BY 3.0, via Wikimedia Commons.