Android est victime de deux nouvelles failles « zero-day », autrement dit déjà exploitées par une cyberattaque. Google a publié son bulletin de sécurité de décembre et souligne que deux des failles peuvent faire « l’objet d’une exploitation limitée et ciblée ».

Elles portent les références CVE-2025-48633 et CVE-2025-48572, et sont notées comme étant d’une sévérité élevée. La première est de type élévation des privilèges, ce qui signifie qu’un utilisateur normal peut avoir accès à des fichiers ou processus système, par exemple. Cela peut permettre à un malware d’infiltrer le système sans avoir à demander des autorisations. La seconde est de type divulgation d’informations, autrement dit une application pourrait accéder à des informations confidentielles ou protégées. Pour l’instant, Google n’a pas encore partagé d’informations sur les mécanismes exacts.

Un correctif déjà disponible pour les smartphones Pixel

Les smartphones Pixel peuvent déjà installer la mise à jour de sécurité de décembre qui contient le correctif pour ces deux failles, ainsi que pour une centaine d’autres vulnérabilités avec des niveaux de gravité différents. Les autres smartphones Android ne reçoivent pas les mises à jour directement de Google. La firme les envoie aux différents les constructeurs, qui les distribuent à leurs appareils. Les mobiles d’autres marques recevront donc les mises à jour selon un calendrier décidé par le fabricant. Samsung a aussi annoncé la mise à jour, mais le déploiement se fait petit à petit sur un mois. Certains utilisateurs pourraient donc ne recevoir le correctif que fin décembre.

Ces deux failles sont suffisamment graves pour que la Cybersecurity and Infrastructure Security Agency (CISA) aux États-Unis les ajoute à son catalogue de vulnérabilités connues. Toutes les agences fédérales doivent avoir installé le correctif d’ici le 23 décembre, et l’agence encourage toutes les organisations à faire de même.

Quelle que soit la marque de leur téléphone, tous les utilisateurs devraient mettre à jour l’appareil dès que le correctif est disponible.