Un patch qui arrive à point nommé
La rentrée 2025 démarre sous haute tension pour les utilisateurs d’Android. Google vient en effet de déployer sa mise à jour de sécurité de septembre, un correctif d’ampleur qui bouche pas moins de 84 vulnérabilités découvertes dans son système mobile. Parmi elles, deux failles critiques sont déjà activement exploitées par des cybercriminels. Autrement dit, le danger n’est pas seulement théorique : il est réel, immédiat, et déjà en action.
Pour comprendre l’urgence de cette mise à jour, il faut se plonger dans les coulisses du fonctionnement d’Android et de la chasse aux failles. Chaque mois, Google et ses partenaires — constructeurs de smartphones, fournisseurs de puces, équipes de sécurité indépendantes — passent au crible le code du système afin d’y détecter d’éventuelles portes dérobées. Et ce mois-ci, le bilan est particulièrement lourd.
Deux failles zéro-day en liberté
Parmi les 84 vulnérabilités corrigées, CVE-2025-38352 et CVE-2025-48543 font figure de bombes à retardement. Ces deux failles de type élévation de privilèges permettent à un attaquant, une fois entré dans le système, d’obtenir les droits les plus élevés. Cela signifie qu’il peut contourner toutes les protections logicielles et agir comme un administrateur invisible.
Ce qui rend la situation encore plus préoccupante, c’est que ces deux failles sont déjà exploitées dans la nature. En langage de cybersécurité, on parle de vulnérabilités « zéro-day » actives : elles sont connues et utilisées par des acteurs malveillants avant même que la majorité des utilisateurs ne soit protégée.
D’après plusieurs experts en sécurité, ces exploits circuleraient dans des campagnes ciblant principalement des journalistes, des personnalités politiques et des cadres de grandes entreprises en Asie et en Europe. Si ces attaques restent discrètes, c’est pour une raison simple : dans le monde de l’espionnage numérique, moins la victime se rend compte de l’intrusion, plus longtemps l’attaquant peut collecter des données.
Le reste de la liste : des failles tout aussi sérieuses
Si l’attention se focalise sur les deux zéro-day, les autres vulnérabilités corrigées ce mois-ci ne sont pas à prendre à la légère. Parmi elles, CVE-2025-48539 attire particulièrement l’œil : il s’agit d’une faille de type exécution de code à distance dans le composant système. Elle permet à un attaquant d’exécuter du code malveillant sans aucune interaction de l’utilisateur. En clair : vous n’avez même pas besoin de cliquer sur un lien ou de télécharger un fichier pour être infecté.
À cela s’ajoutent plusieurs failles critiques touchant les puces Qualcomm, notamment CVE-2025-21450, CVE-2025-21483 et CVE-2025-27034. Ces failles se trouvent dans des composants matériels présents dans des millions de smartphones à travers le monde, et pourraient, si elles sont exploitées, offrir un accès profond au cœur du système.
Pourquoi cette mise à jour est cruciale
Les utilisateurs Android expérimentés savent que toutes les mises à jour ne se valent pas. Certaines ajoutent de nouvelles fonctionnalités ou améliorent l’interface, d’autres se contentent de corrections mineures. Mais cette mise à jour de septembre 2025 relève de la cyber-urgence.
Un chercheur en sécurité informatique, qui préfère garder l’anonymat, résume ainsi la situation :
« C’est le genre de patch qui sépare ceux qui mettent à jour immédiatement de ceux qui risquent de se retrouver avec un téléphone compromis dans les prochaines semaines. »
Et pour cause : lorsqu’une faille est déjà exploitée, la fenêtre de vulnérabilité est ouverte jusqu’à ce que chaque appareil concerné soit mis à jour. Or, sur Android, la fragmentation du parc rend ce processus lent et incomplet. De nombreux modèles, surtout d’entrée de gamme, ne reçoivent pas les correctifs immédiatement — voire pas du tout.
La fragmentation, talon d’Achille d’Android
Contrairement à Apple, qui maîtrise l’ensemble de la chaîne matérielle et logicielle, Google doit composer avec une multitude de fabricants et d’interfaces différentes. Résultat : le déploiement des correctifs est inégal. Certains appareils Pixel reçoivent déjà le patch de septembre, tandis que d’autres marques n’enverront la mise à jour que dans plusieurs semaines.
Cette situation crée un « double marché » de la sécurité : d’un côté, les utilisateurs de modèles haut de gamme ou récents, souvent protégés rapidement ; de l’autre, ceux dont les téléphones restent exposés pendant des semaines, voire des mois. Pour les cybercriminels, c’est une aubaine : ils peuvent cibler en priorité les appareils les plus vulnérables et rentabiliser au maximum leurs campagnes d’attaque.
Les versions d’Android concernées
La mise à jour couvre les versions Android 13 à Android 16. Les appareils plus anciens, tournant sous Android 12 ou inférieur, ne sont plus supportés officiellement. Cela signifie que même si les failles existent sur ces versions, elles ne seront pas corrigées par Google.
Pour ces utilisateurs, les options sont limitées :
- Changer de smartphone pour un modèle encore pris en charge.
- Installer une ROM personnalisée maintenue par la communauté, comme LineageOS, qui continue d’apporter des patchs sur certains anciens modèles.
- Accepter le risque et limiter l’usage du téléphone pour les opérations sensibles.
Un problème qui dépasse Android
Si cette vague de correctifs attire l’attention, elle met aussi en lumière un problème plus global : l’explosion des attaques ciblant les appareils mobiles. Longtemps, les ordinateurs personnels ont été la cible privilégiée des cybercriminels. Mais avec la généralisation des smartphones et leur rôle central dans nos vies, ces derniers sont devenus un eldorado pour les hackers.
Messageries, applications bancaires, réseaux sociaux, accès aux mails professionnels… un smartphone compromis peut donner accès à un véritable trésor d’informations. Et contrairement à un PC, qui peut être isolé ou réinitialisé plus facilement, un téléphone infecté peut continuer à transmettre des données à l’insu de son propriétaire pendant des mois.
Témoignages et avis d’utilisateurs
Sur les forums spécialisés, les réactions à cette mise à jour sont partagées. Certains saluent la réactivité de Google, d’autres dénoncent une communication trop tardive.
- Julien, développeur Android en freelance : « Je mets toujours à jour dès que possible, mais la plupart de mes clients ne savent même pas qu’il existe un menu “Mises à jour” dans les paramètres. Tant que la sensibilisation ne sera pas renforcée, on restera vulnérables. »
- Sophie, journaliste tech : « La fragmentation est un vrai problème. Mon Pixel est déjà à jour, mais le téléphone de mon père, acheté il y a deux ans, n’a toujours pas reçu le patch d’août… »
- Un modérateur d’un groupe Telegram consacré à la cybersécurité mobile : « Nous voyons déjà des scripts qui exploitent la CVE-2025-38352 circuler sur des forums russes. C’est une question de jours avant que ça se répande sur le Dark Web. »
Comment vérifier et mettre à jour son téléphone
Pour vérifier si votre appareil est à jour :
- Ouvrez Paramètres.
- Allez dans Système → Mises à jour logicielles (ou À propos du téléphone → Mise à jour logicielle selon la marque).
- Vérifiez la date de correctif de sécurité. Elle doit indiquer 1er septembre 2025 ou 5 septembre 2025.
Si la mise à jour n’est pas disponible :
- Redémarrez le téléphone et revérifiez.
- Patientez quelques jours, le temps que votre constructeur déploie le patch.
- Évitez autant que possible l’installation d’applications hors Play Store et méfiez-vous des liens reçus par SMS ou messageries.
Ce que cette mise à jour nous apprend
Au-delà des aspects techniques, cette vague de correctifs rappelle une réalité souvent oubliée : la sécurité informatique n’est jamais acquise. Les failles font partie intégrante de tout système complexe. L’enjeu, pour les utilisateurs comme pour les éditeurs, est de réduire au maximum le temps qui s’écoule entre la découverte d’une faille et son correctif.
Dans un contexte où les attaques sont de plus en plus sophistiquées, la vigilance reste de mise. Les cybercriminels exploitent non seulement les failles techniques, mais aussi les comportements humains : retard dans les mises à jour, clics imprudents, installation d’applications douteuses…
Conclusion
Cette mise à jour de septembre 2025 marque l’un des correctifs Android les plus importants de l’année. Avec 84 vulnérabilités comblées, dont deux déjà exploitées dans la nature, elle illustre la course permanente entre ceux qui bâtissent les défenses et ceux qui cherchent à les contourner.
Le message est clair : mettez à jour dès maintenant. Car dans le cyberespace, la moindre hésitation peut offrir aux attaquants la brèche qu’ils attendaient.
