Google a admis, dans son bulletin de sécurité de septembre 2026, une vulnérabilité critique affectant le modem cellulaire de ses smartphones Pixel, y compris la gamme Pixel 11. Référencée CVE-2026-58704, la faille permet une attaque dite « zero-click » : aucune interaction de la victime n’est nécessaire, ni clic sur un lien, ni ouverture de fichier. Techniquement, il s’agit d’une élévation de privilèges exploitant une erreur de logique dans le code du modem, ce qui permet à un attaquant à proximité de sortir du bac à sable où le composant est confiné et d’atteindre les données du reste de l’appareil.
Un correctif pour toute la gamme
La mise à jour de septembre 2026 couvre l’ensemble des modèles concernés, du Pixel 6a au Pixel 11 Pro. Elle est accessible dans les paramètres du téléphone, rubrique « Sécurité et confidentialité ». Google indique que la faille « pourrait faire l’objet d’une exploitation limitée et ciblée », ce qui signifie qu’elle était déjà exploitée avant la publication du correctif : il s’agit d’une vulnérabilité zero-day. L’agence américaine de cybersécurité CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées et a imposé aux administrations fédérales un délai de correction jusqu’au 19 septembre 2026.
Le modem, un maillon qui échappe au contrôle logiciel
Ce cas illustre une limite structurelle. Le modem cellulaire fonctionne dans une couche séparée d’Android, avec ses propres privilèges bas niveau. Un correctif logiciel referme la brèche, mais ne modifie pas le silicium gravé dans la puce. Or l’argument commercial des Pixel repose sur la maîtrise conjointe du matériel et du logiciel par Google, du processeur Tensor G6 à la surcouche Android, censée garantir des correctifs plus rapides et un nombre réduit de portes d’entrée. Sur le Pixel 11, le modem est présenté comme plus rapide et plus économe en énergie. Ces mêmes appareils font toutefois l’objet de problèmes de connectivité, et le système d’exploitation alternatif GrapheneOS menace de les abandonner faute d’une protection matérielle jugée essentielle.
Un précédent connu
Le vecteur n’est pas nouveau. Début 2023, Samsung et Google avaient déjà dû corriger dix-huit vulnérabilités dans les modems Exynos équipant des Pixel et des Galaxy. Le même point faible réapparaît sur des appareils conçus de bout en bout par Google. L’entreprise n’a nommé aucun responsable et n’a pas répondu aux demandes de précisions.
Portée et limites de l’information
Google n’a pas identifié les cibles de l’exploitation. Le terme « ciblé » désigne rarement l’utilisateur lambda en matière de sécurité, mais aucune preuve ne relie cette faille à un logiciel espion commercial de type Pegasus dans ce cas précis. Ce qui est confirmé : l’existence de la vulnérabilité, son exploitation active, la disponibilité d’un correctif pour l’ensemble de la gamme Pixel concernée, et l’injonction de la CISA aux agences fédérales. Ce qui reste inconnu : l’identité des attaquants, le nombre de victimes, et les éventuelles conséquences à long terme sur l’architecture matérielle des futurs modèles.