Le bulletin de novembre de Google corrige des vulnérabilités Android critiques, dont des failles d’exécution de code à distance qui ne nécessitent aucune interaction de l’utilisateur. La tâche immédiate pour les entreprises consiste à identifier les appareils qui ont reçu les correctifs applicables.
Google a publié son bulletin de sécurité Android de novembre 2026 le 2 novembre.
Le bulletin signale des vulnérabilités critiques dans Android Framework, System et d’autres composants, dont des failles d’exécution de code à distance qui ne nécessitent aucune interaction de l’utilisateur.
Pour les organisations qui gèrent des téléphones et des tablettes Android, la question pratique est de savoir si les appareils concernés ont reçu les mises à jour de sécurité nécessaires.
Google définit deux niveaux de correctif de sécurité pour novembre : 2026-11-01 et 2026-11-05.
Ces deux dates n’ont pas la même signification.
Quelles vulnérabilités comptent ?
Le bulletin comprend trois vulnérabilités critiques d’exécution de code à distance dans Framework et System.
| Vulnérabilité | Composant | Gravité | Type |
|---|---|---|---|
| CVE-2026-58868 | Framework | Critique | Exécution de code à distance |
| CVE-2026-58876 | System | Critique | Exécution de code à distance |
| CVE-2026-58936 | System | Critique | Exécution de code à distance |
Google indique que la vulnérabilité la plus grave de Framework pourrait permettre une exécution de code à distance sans privilèges d’exécution supplémentaires ni interaction de l’utilisateur.
Le bulletin décrit des risques similaires pour les failles critiques d’exécution de code à distance de System.
Il s’agit d’évaluations de l’impact des vulnérabilités. Elles n’établissent pas que chaque appareil concerné peut être compromis dans toutes les conditions.
L’évaluation de la gravité par Google suppose que les protections pertinentes de la plateforme ou des services sont désactivées ou contournées avec succès.
Le bulletin officiel de novembre ne fait pas état d’une exploitation active confirmée des trois vulnérabilités RCE mises en avant. Cela ne doit pas être interprété comme la preuve qu’aucune exploitation n’a jamais eu lieu.
Le bulletin couvre aussi d’autres vulnérabilités liées à l’élévation de privilèges, à la divulgation d’informations et au déni de service. Cinq autres failles de System sont également classées critiques : trois vulnérabilités d’élévation de privilèges et deux vulnérabilités de déni de service.
Selon la faille, le bulletin indique les versions mises à jour 14, 15, 16, 16-qpr2 et 17 d’Android Open Source Project.
Source : Android Open Source Project, Android Security Bulletin, November 2026.
1er novembre ou 5 novembre : quelle différence ?
Android utilise des niveaux de correctif de sécurité pour indiquer quels groupes de correctifs le fabricant d’un appareil a intégrés.
| Niveau de correctif de sécurité Android | Couverture |
|---|---|
| 2026-11-01 | Toutes les failles attribuées au groupe du 1er novembre, ainsi que les correctifs applicables des bulletins de sécurité Android précédents |
| 2026-11-05 | Tous les correctifs applicables des deux groupes de novembre et des bulletins de sécurité Android précédents |
Le groupe du 1er novembre comprend les vulnérabilités d’exécution de code à distance de Framework et de System mises en avant.
Le groupe du 5 novembre ajoute d’autres correctifs qui concernent le noyau et d’autres composants applicables, y compris des composants de fournisseurs.
Google autorise deux niveaux de correctif afin que les fabricants puissent livrer plus tôt un sous-ensemble commun de correctifs tout en achevant les autres modifications applicables.
Un appareil qui indique 2026-11-01 ne doit donc pas être considéré comme équivalent à un appareil qui indique 2026-11-05.
2026-11-01
Le niveau 2026-11-01 couvre toutes les failles attribuées au groupe du 1er novembre, ainsi que les correctifs applicables des bulletins de sécurité Android précédents. Le groupe du 1er novembre comprend les vulnérabilités d’exécution de code à distance de Framework et de System mises en avant.
2026-11-05
Le niveau 2026-11-05 couvre tous les correctifs applicables des deux groupes de novembre et des bulletins de sécurité Android précédents. Le groupe du 5 novembre ajoute d’autres correctifs qui concernent le noyau et d’autres composants applicables, y compris des composants de fournisseurs.
Non équivalent
Un appareil qui indique 2026-11-01 ne doit donc pas être considéré comme équivalent à un appareil qui indique 2026-11-05. Google indique que le niveau du 5 novembre ou un niveau ultérieur corrige toutes les failles applicables du bulletin.
Google indique que le niveau du 5 novembre ou un niveau ultérieur corrige toutes les failles applicables du bulletin.
Source : Android Security Bulletin, November 2026, définitions des niveaux de correctif.
Niveau de correctif de sécurité Android ou mise à jour du système Google Play
Les appareils Android peuvent afficher deux dates différentes liées à la sécurité.
Le niveau de correctif de sécurité Android (Android security patch level) indique l’état des correctifs de sécurité de la plateforme installés sur l’appareil, tel que le déclare son fabricant.
La mise à jour du système Google Play (Google Play system update) reflète les mises à jour livrées aux composants modulaires d’Android pris en charge, au moyen du mécanisme de mise à jour de Google.
Le bulletin de novembre comprend des correctifs pour des composants Project Mainline qui peuvent être livrés par les mises à jour du système Google Play sur les appareils compatibles. L’une des trois vulnérabilités critiques d’exécution de code à distance, CVE-2026-58876, figure parmi les failles Project Mainline, sous Media Codecs.
Toutefois, la mise à jour de ces composants ne suffit pas à elle seule à établir que tous les correctifs requis de Framework, du noyau et propres au fabricant ont été installés.
Google précise aussi que, pour certains appareils sous Android 10 ou version ultérieure, la mise à jour du système Google Play aura une chaîne de date qui correspond au niveau de correctif de sécurité 2026-11-01. Cette correspondance ne change rien au point précédent, car la mise à jour du système Google Play n’indique pas l’état des correctifs de la plateforme.
Les deux indicateurs ne doivent pas être considérés comme interchangeables.
Niveau de correctif
Le niveau de correctif de sécurité Android indique l’état des correctifs de sécurité de la plateforme installés sur l’appareil, tel que le déclare son fabricant. Les administrateurs doivent l’utiliser pour évaluer les exigences du bulletin en matière de correctifs de la plateforme.
Mise à jour Play
La mise à jour du système Google Play reflète les mises à jour livrées aux composants modulaires d’Android pris en charge, au moyen du mécanisme de mise à jour de Google. L’une des trois vulnérabilités critiques d’exécution de code à distance, CVE-2026-58876, figure parmi les failles Project Mainline, sous Media Codecs.
Non substituables
La mise à jour des composants modulaires ne suffit pas à elle seule à établir que tous les correctifs requis de Framework, du noyau et propres au fabricant ont été installés. Les deux indicateurs ne doivent pas être considérés comme interchangeables.
Les administrateurs doivent utiliser le niveau de correctif de sécurité Android pour évaluer les exigences du bulletin en matière de correctifs de la plateforme, tout en surveillant aussi les mises à jour du système Google Play le cas échéant.
Que doivent faire les équipes en entreprise ?
Une réponse pratique commence par l’inventaire des appareils gérés.
Identifier les appareils concernés. Notez le modèle de l’appareil, la version d’Android, le niveau de correctif de sécurité Android installé et la disponibilité des mises à jour. Sur l’appareil, les deux indicateurs apparaissent sous Paramètres, À propos du téléphone, Version d’Android, avec les libellés Mise à jour de sécurité Android (Android security update) et Mise à jour du système Google Play.
Vérifier les avis des fabricants. Google publie le bulletin de la plateforme, mais ce sont les fabricants qui intègrent les correctifs applicables dans le logiciel propre à chaque appareil. Les calendriers de distribution peuvent varier selon le produit et l’opérateur.
Prioriser selon l’exposition. Les appareils utilisés pour l’administration à privilèges, pour des applications sensibles ou pour l’accès à des dossiers confidentiels peuvent nécessiter une correction plus rapide, selon l’évaluation des menaces et des risques de l’organisation.
Suivre les appareils qui ne peuvent pas être mis à jour. Les appareils pour lesquels aucune version corrective n’est disponible doivent rester visibles dans l’inventaire des exceptions. Des restrictions d’accès temporaires, des privilèges réduits ou un remplacement peuvent être appropriés jusqu’à ce que les correctifs requis soient disponibles.
Identifier
Notez le modèle de l’appareil, la version d’Android, le niveau de correctif de sécurité Android installé et la disponibilité des mises à jour.
Voir les fabricants
Google publie le bulletin de la plateforme, mais ce sont les fabricants qui intègrent les correctifs applicables dans le logiciel propre à chaque appareil. Les calendriers de distribution peuvent varier selon le produit et l’opérateur.
Prioriser
Les appareils utilisés pour l’administration à privilèges, pour des applications sensibles ou pour l’accès à des dossiers confidentiels peuvent nécessiter une correction plus rapide, selon l’évaluation des menaces et des risques de l’organisation.
Exceptions
Les appareils pour lesquels aucune version corrective n’est disponible doivent rester visibles dans l’inventaire des exceptions. Des restrictions d’accès temporaires, des privilèges réduits ou un remplacement peuvent être appropriés jusqu’à ce que les correctifs requis soient disponibles.
Par exemple, un téléphone géré qui indique `2026-11-01` peut avoir reçu les correctifs critiques de Framework couverts par le premier groupe tout en ne disposant pas encore des correctifs applicables attribués au 5 novembre.
Un administrateur doit vérifier le niveau de correctif exigé par l’organisation plutôt que de déclarer le téléphone entièrement conforme simplement parce que sa date contient novembre 2026.
Et Google Play Protect ?
Google Play Protect et les contrôles de sécurité intégrés d’Android peuvent réduire la probabilité d’une exploitation réussie.
Ils restent des défenses précieuses, en particulier contre les applications malveillantes.
Mais ils ne remplacent pas les correctifs de sécurité.
Un appareil peut avoir Google Play Protect activé et nécessiter malgré tout une mise à jour du fabricant pour corriger une vulnérabilité de la plateforme ou du noyau.
Les organisations doivent distinguer ces mécanismes de protection plutôt que de considérer un indicateur isolé comme la preuve qu’un appareil dispose de tous les correctifs.
Ce qu’il faut retenir sur le plan opérationnel
Le bulletin de novembre établit les vulnérabilités, les composants concernés et les niveaux de correctif requis.
Il revient aux administrateurs en entreprise d’établir quels appareils gérés ont réellement reçu les mises à jour applicables.
L’action immédiate consiste à identifier les appareils dont le niveau de correctif est inférieur au niveau requis, à vérifier la disponibilité auprès des fabricants et à garder visibles les exceptions non résolues jusqu’à la fin de la correction.
Une mise à jour de sécurité publiée rend un correctif disponible. La protection d’une flotte d’appareils dépend de la confirmation que ce correctif a bien atteint les appareils concernés.
Références et lectures complémentaires
- Android Open Source Project, Android Security Bulletin, November 2026. 2 novembre 2026. Classifications officielles des vulnérabilités, composants concernés et définitions des niveaux de correctif.
- Google, Check and update your Android version. Instructions officielles pour vérifier l’état de la mise à jour de sécurité Android et de la mise à jour du système Google Play.
- Android Open Source Project, Android Security Bulletins. Archive officielle des avis de sécurité de la plateforme Android.
Date limite des éléments pris en compte : 6 novembre 2026. Google a publié le bulletin le 2 novembre en version 1.0 et indique qu’il sera révisé pour ajouter des liens vers le code source. Les révisions du bulletin, la disponibilité des mises à jour propres à chaque appareil et les signalements d’exploitation doivent être revérifiés avant publication.