Contexte de la vulnérabilité
Le 16 septembre 2026, Google a annoncé la découverte d’une faille identifiée sous le numéro CVE‑2026‑58704. Cette vulnérabilité affecte le logiciel du modem des smartphones Pixel, composant responsable de la connexion radio et de la communication avec les réseaux cellulaires. Google précise que l’exploitation était limitée à des attaques ciblées, mais que le vecteur d’infection ne nécessitait aucune interaction de l’utilisateur, ce qui correspond à la définition d’une attaque « zero‑click ». La société a publié un correctif via son processus habituel de mise à jour OTA.
Le rapport indique que l’attaque permettait une élévation de privilèges depuis le sandbox du modem vers le système d’exploitation principal du téléphone. Aucun acteur identifié n’a été nommé, bien que les experts évoquent fréquemment des fournisseurs de logiciels espions capables de monétiser ce type de vecteur auprès d’États ou d’organisations de renseignement.
Mécanisme d’exploitation du modem
Le modem fonctionne sur un processeur dédié, souvent appelé baseband, qui exécute un firmware séparé du système Android. Ce firmware est isolé par un sandbox afin de limiter les accès aux ressources critiques du téléphone. La faille CVE‑2026‑58704 réside dans le code qui gère les paquets radio entrants ; une manipulation malveillante de ces paquets peut déclencher une corruption de mémoire qui contourne les contrôles d’accès du sandbox.
Une fois le sandbox contourné, l’attaquant obtient un accès direct aux interfaces du système d’exploitation, notamment le stockage de données utilisateur et les services de localisation. Le caractère « zero‑click » provient du fait que le paquet malveillant peut être injecté par le réseau mobile sans que le propriétaire du téléphone ouvre un lien, télécharge un fichier ou active une fonction particulière.
Analyse de l’impact et des limites de la correction
Du point de vue de la surface d’attaque, le modem représente l’un des points d’entrée les plus exposés, car il traite en permanence des données provenant de réseaux non fiables. La capacité à franchir la barrière du sandbox multiplie les risques : vol de données, suivi en temps réel, voire prise de contrôle complète du dispositif. La mise à jour publiée par Google corrige le code de gestion des paquets, rétablit les vérifications de limites et renforce la séparation entre le firmware du modem et le système Android.
Google ne fournit pas de détails sur la chaîne d’exploitation exacte, ce qui limite l’évaluation précise du danger résiduel. De plus, la correction dépend d’une mise à jour OTA ; les appareils qui n’ont pas appliqué le patch restent exposés. Enfin, l’absence d’attribution officielle empêche de mesurer l’ampleur réelle du groupe responsable, ce qui complique les stratégies de défense au niveau des opérateurs télécoms.
