Google corrige en urgence une grave faille de sécurité dans Android – les pirates l'exploitent déjà

Une faille de sécurité majeure touche des centaines de millions de smartphones et de tablettes Android. Elle permet à des pirates de prendre le contrôle d'un appareil à distance, sans aucune intervention de l'utilisateur.

Mauvaise nouvelle pour les utilisateurs de smartphones Android : une faille de sécurité jugée sérieuse est activement exploitée par des pirates. Google a réagi rapidement en diffusant un correctif dans son dernier bulletin de sécurité publié le 5 mai. Cette vulnérabilité, identifiée sous le nom CVE-2025-27363, concerne une bibliothèque utilisée pour l'affichage du texte sur les écrans des appareils Android. Elle permet l'exécution de code malveillant à distance, sans même que l'utilisateur ait besoin de cliquer sur quoi que ce soit. Le pire des scénarios !

Le problème concerne les versions 13, 14 et 15 d'Android. Il s'agit d'un exemple typique de faille dite zero-day, une vulnérabilité exploitée avant même qu'un correctif ne soit disponible. Concrètement, cela signifie que des appareils ont pu être compromis ces dernières semaines sans que leurs propriétaires en aient conscience. Selon Google, les attaques observées restent ciblées, mais l'absence d'interaction requise rend cette faille particulièrement dangereuse. Pour protéger les utilisateurs, un correctif a été intégré au niveau de sécurité 2025-05-01 du système, et une distribution par Google Play est également en cours pour les appareils plus anciens.

Failles Android : 45 vulnérabilités corrigées

La faille la plus critique se niche dans la bibliothèque Freetype, utilisée par Android pour afficher des polices de caractères. Un simple fichier piégé affiché dans une application ou un site web peut suffire à déclencher une attaque. Le risque est réel, et les équipes de Google n'ont pas tardé à corriger ce point faible. Mais ce n'est qu'une des 46 failles bouchées ce mois-ci. D'autres vulnérabilités, tout aussi sérieuses, concernent le cœur du système, les composants des puces graphiques ou encore les pilotes de processeurs.

La mise à jour de sécurité de mai se divise en deux niveaux. Le premier, daté du 1er mai, concerne le système Android lui-même. Le second, daté du 5 mai, cible les composants matériels, comme les GPU Mali et PowerVR ou encore les processeurs de Qualcomm et MediaTek. Tous ces éléments sont présents dans des millions de smartphones, ce qui rend la mise à jour indispensable. Les appareils Google Pixel devraient recevoir leur correctif dans les prochains jours, tandis que d'autres marques comme Samsung ou LG ont déjà commencé le déploiement.

Problème : tous les téléphones ne reçoivent pas ces correctifs en même temps. Les modèles les plus récents ou les plus haut de gamme sont souvent servis en priorité. À l'inverse, les appareils plus anciens, surtout ceux qui ne sont plus officiellement pris en charge, restent vulnérables. Pourtant, certains correctifs sont diffusés directement via Google Play, ce qui permet à des téléphones non suivis par leur constructeur de bénéficier d'une protection minimale. Mais cela ne remplace pas une mise à jour complète du système.

Pour limiter les risques, la vigilance reste de mise. Installer les mises à jour dès qu'elles sont disponibles, éviter les applications douteuses, et se méfier des liens inconnus sont des gestes simples mais essentiels. Car face à des failles comme CVE-2025-27363, mieux vaut ne pas laisser la porte ouverte aux pirates. Google recommande à tous les utilisateurs de vérifier leur niveau de correctif dans les paramètres de leur téléphone et de s'assurer qu'il est au moins daté de mai 2025.