Vulnérabilité critique sur Android : les processeurs MediaTek vulnérables à l’accès non autorisé

Une faille dans les processeurs MediaTek met en péril la sécurité des smartphones Android

Une récente vulnérabilité identifiée dans le chargeur de démarrage des appareils Android équipés de puces MediaTek constitue une menace sérieuse pour la sécurité des utilisateurs. Selon une étude menée par l’équipe Donjon de Ledger, cette faille, référencée CVE-2026-20435, permet à un attaquant d’accéder aux données sensibles en moins d’une minute, même lorsque le téléphone est éteint.

Les chercheurs ont découvert que cette faille réside dans le preloader, un composant logiciel qui s’active avant même le lancement d’Android. Ce composant ne vérifie pas si l’entité qui tente d’accéder aux données est autorisée, ce qui permet à un outil connecté via USB, par exemple en branchant un smartphone ou un câble malveillant, de récupérer des informations telles que le code PIN, les phrases de récupération de portefeuilles cryptographiques, ou encore les identifiants comme l’IMEI ou les numéros de série. La vulnérabilité fonctionne en amont du système d’exploitation, exploitant une erreur logique qui ne nécessite aucune interaction de l’utilisateur ni privilège particulier.

Les appareils concernés sont principalement ceux équipés de puces MediaTek couplées à l’environnement d’exécution sécurisé Trustonic (TEE). La difficulté et la simplicité de l’exploitation en font une menace pour tous ceux qui ont un téléphone disposant de cette configuration, surtout dans des contextes où le terminal peut être physiquement accessible à des tiers malveillants. La faille n’a pas besoin que l’appareil soit allumé : elle fonctionne également lorsque le téléphone est éteint, rendant les protections classiques du système d’exploitation inutiles.

Face à cette vulnérabilité, MediaTek a publié un correctif dans son bulletin de sécurité de mars 2026, indiquant avoir fourni les mises à jour à ses fabricants dès le 5 janvier 2026. La société confirme avoir adopté une démarche de divulgation responsable, laissant un délai de 90 jours avant de rendre la vulnérabilité publique. Néanmoins, les utilisateurs sont invités à vérifier si une mise à jour de sécurité est disponible auprès de leur fabricant afin de protéger leurs appareils contre toute exploitation potentielle.

Cette vulnérabilité s’inscrit dans un contexte de préoccupations accrues concernant la sécurité des appareils mobiles, notamment face à la sophistication croissante des techniques d’attaque. Elle rappelle l’importance de maintenir ses appareils à jour et de rester vigilant face aux risques liés à un accès physique non autorisé. La communauté de sécurité recommande également aux fabricants de renforcer leurs mécanismes de vérification lors du processus d’amorçage afin d’éviter ce type d’exploitation à l’avenir.