Le nouvel appareil sécurisé : la confiance commence avant même le système d'exploitation

La plupart des attaques sur mobile sont désormais bien connues : un lien malveillant reçu par SMS, une application compromise demandant des droits d'accès excessifs, ou encore un mot de passe volé qui ouvre la porte aux pirates. Les éditeurs de logiciels de sécurité ont passé des années à mettre en place des défenses contre ces menaces. Mais les pirates trouvent également des failles via les micrologiciels, les modems, les chipsets et d'autres composants privilégiés que de nombreux outils de sécurité détectent à peine.

Une faille « zero-click » activement exploitée dans le modem cellulaire des appareils Google Pixel illustre concrètement cette évolution. Cette vulnérabilité soulève un problème plus large lié à la sécurité des appareils : les entreprises doivent vérifier et contrôler la technologie sous-jacente au système d'exploitation avant de pouvoir déterminer si un appareil est sécurisé.

La surface d'attaque s'est déplacée sous les applications

Une faille de sécurité au niveau du modem peut ne laisser à l'utilisateur que peu, voire aucune chance, de contrer l'attaque.

Les solutions de sécurité mobile protègent bien mieux les éléments d’un appareil que les utilisateurs consultent quotidiennement : applications, navigateurs, messages, comptes et autorisations. Les couches sous-jacentes font l’objet d’une attention moindre. Une faille dans un modem, un pilote ou un chipset peut permettre à un pirate d’accéder au système sans qu’aucun clic, aucune installation, aucune autorisation ni aucun avertissement ne soit nécessaire.

Cela soulève une question plus épineuse : qu’est-ce qui est exactement vérifié lorsqu’un appareil est déclaré sécurisé ? Les entreprises ont besoin d’une visibilité sur le modem, le micrologiciel et les autres composants sous-jacents, ainsi que de l’assurance que chaque couche est prise en charge, mise à jour et suffisamment sécurisée pour permettre l’accès à des ressources sensibles.

Bulletin d'actualisation Pixel de Google Bulletin de mise à jour Pixel de septembre 2026, publié le 15 septembre, a confirmé l'existence d'une exploitation ciblée et limitée de la vulnérabilité CVE-2026-58704, une faille de gravité élevée permettant l'élévation de privilèges au niveau du modem cellulaire et affectant les appareils Pixel. Cette vulnérabilité provient d'une erreur logique dans les contrôles d'autorisation du modem, permettant à un attaquant situé à proximité radio, sans privilèges supplémentaires et sans interaction de la part de la victime, de contourner les contrôles d'autorisation et d'élever son niveau d'accès sur l'appareil.

Google n'a pas révélé l'identité de l'attaquant ni identifié de victimes. Son bulletin indique simplement que la vulnérabilité a fait l'objet d'une «exploitation limitée et ciblée». L'attaquant doit se trouver à portée radio de l'appareil. La victime n'a pas besoin d'approuver une invite ni d'ouvrir un lien.

Le 16 septembre 2026, au lendemain de la divulgation de cette vulnérabilité par Google, l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) l'a ajoutée à son catalogue des vulnérabilités connues exploitées, donnant aux agences civiles fédérales jusqu'au 19 septembre 2026 pour appliquer le correctif.

La vulnérabilité se trouve dans le modem, qui gère toutes les connexions mobiles établies par l'appareil. Cette couche fonctionne en amont des applications, des comptes et des paramètres avec lesquels les utilisateurs interagissent. Le correctif concerne les modèles Pixel 6 à Pixel 11, la tablette Pixel et les modèles Fold. Les appareils Pixel 6 et 6 Pro, quant à eux, ne seront plus pris en charge à partir d’octobre 2026.

Ce que révèle la faille « Pixel Zero-Day »

L'affaire Pixel met en évidence une lacune dans de nombreux programmes de sécurité mobile. Les formations de sensibilisation ne peuvent pas empêcher une attaque qui n'exige aucune action de la part de l'utilisateur. La gestion des correctifs peut également prendre du retard par rapport à la vitesse de divulgation : la CISA a ajouté le CVE-2026-58704 à son catalogue des vulnérabilités connues exploitées un jour après que Google l'ait divulgué et a accordé trois jours aux agences civiles fédérales pour appliquer le correctif. Les outils de gestion qui ne signalent que la version du système d’exploitation peuvent encore classer un appareil exposé comme conforme, car ils ne vérifient ni le modem ni le micrologiciel.

La fiabilité d'un appareil évolue au fil du temps. Un téléphone peut être considéré comme fiable un lundi et devenir un risque dès le mardi si une vulnérabilité est révélée, si son exploitation est confirmée, si un correctif est publié ou si le support technique du fabricant prend fin.

Que signifie aujourd'hui l'expression « appareil sécurisé » ?

Pour qu'un appareil soit sécurisé, il doit bénéficier d'une protection à tous les niveaux de la pile technologique. Cela inclut les applications, les identités, le système d'exploitation, le micrologiciel du modem, les pilotes, les chipsets et le support continu du fournisseur. Une faille au sein de n'importe quelle couche privilégiée peut rendre l'appareil inadapté à un réseau sensible, même s'il semble fonctionner normalement.

Les équipes de sécurité ont besoin d'un inventaire à jour des appareils, d'une visibilité sur les niveaux de correctifs, de la possibilité de modifier rapidement les politiques de sécurité et de contrôles permettant de bloquer l'accès lorsqu'un appareil n'est plus à jour. BlackBerry^®UEM soutient cette approche en facilitant l'application des exigences en matière de correctifs et en restreignant l'accès aux appareils qui ne respectent plus la politique.

La sécurité des communications sensibles dépend de celle de l'appareil qui les achemine.^BlackBerry® SecuSUITE^® a été conçu pour protéger ces communications dans des environnements où la plateforme mobile pourrait être compromise.

Comment les organisations devraient réagir

Pour remédier à cette vulnérabilité, la première étape consiste à recenser tous les appareils Pixel pouvant accéder aux ressources de l'organisation, y compris les appareils personnels utilisés à des fins professionnelles, et à vérifier que chacun d'entre eux dispose d'un correctif de sécurité daté du 05/09/2026 ou d'une version ultérieure. Les agences civiles fédérales doivent également s'assurer qu'elles ont respecté et consigné par écrit la date limite du 19 septembre fixée par la CISA.

La solution à long terme consiste à institutionnaliser ce processus. Les outils de conformité doivent permettre de vérifier les niveaux réels de mise à jour sur l’ensemble des appareils. Les équipes doivent accorder une attention particulière aux appareils utilisés par les personnes ayant accès à des informations ou à des systèmes sensibles. Le catalogue KEV de la CISA peut servir de déclencheur concret pour passer à l’action, même si ses délais ne sont pas juridiquement contraignants.

La sécurité doit s'appliquer à l'ensemble de la pile logicielle de l'appareil

La vulnérabilité du modem Pixel met en évidence un problème plus général. Les pirates ciblent des composants de l'appareil que de nombreuses entreprises ne contrôlent pas systématiquement, ce qui leur permet de contourner les mesures de sécurité que les équipes de sécurité ont mis des années à perfectionner.

Les organisations ne devraient faire confiance à un appareil que tant qu'elles sont en mesure de vérifier ses composants et d'en contrôler l'accès. Lorsque cette vérification n'est plus possible, l'accès doit être modifié immédiatement. Il s'agit là d'une bonne pratique pour garantir la sécurité d'un appareil.