Android – Deux failles 0-day exploitées, mettez à jour maintenant !
Google vient de publier son
bulletin de sécurité de décembre 2025
et c’est pas joli joli. Au programme, 107 vulnérabilités corrigées dont deux 0-day activement exploités dans des attaques ciblées. Donc si vous avez un smartphone Android, allez vérifier vos mises à jour immédiatement !
Les deux failles qui posent problème s’appellent CVE-2025-48633 et CVE-2025-48572. La première permet de voler des informations sur votre appareil et la seconde offre une escalade de privilèges… autrement dit, un attaquant peut prendre le contrôle de votre téléphone. Et ces deux vulnérabilités touchent le Framework Android, c’est à dire le cœur du système et elles affectent les versions 13, 14, 15 et 16. Donc en gros, à peu près tout le monde.
Le CISA américain (l’agence de cybersécurité) a ajouté ces deux CVE à son catalogue des vulnérabilités activement exploitées. Et quand le CISA bouge son popotin, c’est que c’est du sérieux. Google parle d’exploitation “limitée et ciblée”, ce qui signifie probablement des attaques de type spyware contre des cibles spécifiques… journalistes, activistes, ce genre de profils, mais rien n’empêche ces failles de se démocratiser maintenant qu’elles sont publiques.
À côté de ces deux 0-day, le bulletin corrige aussi une faille critique (CVE-2025-48631) qui permet un déni de service à distance sans avoir besoin de privilèges particuliers. En clair, quelqu’un peut faire planter votre téléphone à distance. C’est toujours sympa à faire ^^.
Ensuite, le reste du bulletin, c’est 34 failles dans le Framework, 13 dans le composant System, plus une cinquantaine de vulnérabilités réparties entre le kernel, les GPU Arm Mali, et les composants MediaTek, Qualcomm et Unisoc. Quatre failles kernel critiques permettent une élévation de privilèges via pKVM et IOMMU… bref, c’est le festival !
Pour vérifier si vous avez le patch, allez dans Paramètres > À propos du téléphone > Version Android (ou Informations sur le logiciel selon les marques). Vous devez avoir au minimum le niveau de correctif du 1er décembre 2025. Si vous êtes en dessous, forcez la vérification des mises à jour ou attendez que votre constructeur daigne pousser le patch… ce qui peut prendre quelques jours à quelques semaines selon la marque.
Les Pixel ont déjà reçu la mise à jour et pour Samsung, OnePlus et les autres, ça dépend du modèle et de la région. Et les téléphones qui ne reçoivent plus de mises à jour de sécurité sont évidemment exposés indéfiniment à ces failles, sauf si vous les rootez pour y mettre un Android custom du genre LineageOS ou GrapheneOS (Il est à la mode celui là en ce moment.. ahahaha).
Source : korben.info