Google corrige un zero-day du modem des Pixel, exploité dans des attaques ciblées
Le 16 septembre 2026, Google a confirmé l’exploitation de CVE-2026-58704, une escalade de privilèges dans le modem cellulaire des Pixel, dans le cadre d’attaques limitées et ciblées. Appliquez le correctif de septembre 2026 et érigez le niveau de patch Android en critère de conformité de votre flotte mobile.
16 septembre 2026. Google publie son bulletin Pixel de septembre et confirme qu’une faille est activement exploitée. CVE-2026-58704. Une escalade de privilèges dans le modem cellulaire. 5 septembre 2026. Le niveau de correctif qui protège les appareils. Pourquoi c’est important : un zero-day dans le baseband — le processeur qui gère la radio — touche une surface qui échappe au modèle de sécurité d’Android, et il s’exploite sans aucune interaction de l’utilisateur.
Une faille dans la partie du téléphone qui ne dort jamais
CVE-2026-58704 ne se situe pas dans Android au sens strict, mais dans le modem cellulaire — cette couche matérielle et logicielle qui maintient la connexion de l’appareil au réseau mobile. Google la décrit sobrement : « Dans le modem cellulaire, un contournement de permission est possible en raison d’une erreur de logique dans le code. » La conséquence est une « escalade de privilèges à distance (proximité/adjacence) sans privilège d’exécution supplémentaire ».
Deux caractéristiques rendent la faille préoccupante. D’abord, le vecteur : un attaquant présent sur un réseau adjacent — un point d’accès Wi-Fi compromis ou une fausse antenne-relais (un IMSI catcher) — peut déclencher l’exploitation sans que la victime n’ait à cliquer sur quoi que ce soit. Ensuite, la cible : le baseband est un système à part, souvent un RTOS propriétaire qui tourne en parallèle du système d’exploitation principal, avec ses propres privilèges et un accès direct à la radio.
Pourquoi le baseband est une cible de choix
Le modem cellulaire est l’un des angles morts les plus persistants de la sécurité mobile. Historiquement, il fonctionne sur du code fermé fourni par les fabricants de puces — Qualcomm, MediaTek, Samsung — que les équipes de sécurité ne peuvent pas auditer comme le reste du système. Il traite en continu des données non fiables venues de l’extérieur : balises réseau, identifiants de cellule, messages de contrôle. C’est la définition même d’une surface d’attaque exposée.
Le risque n’est pas théorique. Les zero-days du baseband ont déjà servi à des campagnes d’espionnage documentées : une fois le modem compromis, un attaquant peut lire les appels, les SMS, la localisation — le tout sans jamais toucher à l’Android principal. C’est pour cela que Google et les éditeurs de puces traitent ces failles avec une gravité disproportionnée à leur score : une escalade de privilèges dans le modem peut valoir un accès complet au trafic de l’appareil.
Ce que contient le correctif de septembre
Le bulletin Pixel de septembre 2026 ne se limite pas à CVE-2026-58704. Il corrige 110 vulnérabilités au total : 12 failles critiques d’exécution de code à distance, 89 failles d’escalade de privilèges de sévérité élevée, et le zero-day du modem. Le niveau de correctif requis est 2026-09-05.
Google est explicite sur l’exploitation : « Il existe des indications que CVE-2026-58704 puisse faire l’objet d’une exploitation limitée et ciblée. » La formulation, prudente mais rare, signifie que des attaquants l’utilisent déjà — vraisemblablement contre des cibles choisies, dans la logique des campagnes d’espionnage plus que dans celle du vol de masse.
La faille s’inscrit dans une série. En juin 2026, Google avait déjà corrigé CVE-2025-48595, un zero-day du framework Android exploité dans des attaques ciblées sur les appareils tournant sous Android 14 ou plus. La cadence des zero-days mobiles s’accélère, et le baseband en devient un terrain régulier.
Ce que doit faire un responsable de flotte
Pour un RSSI ou un responsable de flotte mobile, la leçon dépasse le correctif du mois. Le vrai enseignement est que le niveau de patch d’un appareil est une métrique de sécurité, pas une formalité administrative. Un Pixel qui traîne sur un patch de juillet est un appareil exposé à une faille activement exploitée.
La première action est mécanique : forcer l’application du patch 2026-09-05 sur tous les appareils de la flotte. Sur un Pixel, on vérifie dans Réglages → À propos du téléphone que le niveau de correctif affiche bien 5 septembre 2026 ou plus récent.
# Vérifier le niveau de correctif via ADB (appareils Android connectés)
adb shell getprop ro.build.version.security_patch
# Inventorier les appareils sous un ancien niveau de correctif
adb shell getprop ro.build.version.security_patch | grep -vE '2026-09|2026-10|2026-11|2026-12'Ensuite, intégrez le niveau de patch à votre politique de conformité. Un MDM moderne permet de bloquer l’accès aux ressources d’entreprise aux appareils dont le patch est trop ancien. C’est la traduction directe du principe : un appareil non patché n’est pas un appareil de confiance.
Enfin, considérez le modem comme une surface à part. Les mises à jour du baseband arrivent avec les correctifs système, mais leur urgence doit être lue à travers le prisme des campagnes ciblées : si vos collaborateurs sont des cibles plausibles — journalistes, juristes, dirigeants, ingénieurs sensibles — le retard de patch sur le modem n’est pas un risque théorique, c’est une fenêtre ouverte.
Verdict
CVE-2026-58704 rappelle que le baseband est désormais une surface d’attaque de premier rang, exploitée sans interaction depuis un simple réseau adjacent. Si vous gérez une flotte Pixel ou Android, appliquez le patch 2026-09-05 immédiatement et faites du niveau de correctif une condition d’accès aux ressources d’entreprise. Si vos utilisateurs sont des cibles plausibles, traitez le retard de patch du modem comme un incident de sécurité, pas comme une dette technique : dans les campagnes ciblées, c’est exactement la fenêtre que l’attaquant attend. Le zero-day du mois est corrigé ; la discipline de patch, elle, reste à installer.