- Une faille de sécurité majeure, révélée le 1er septembre 2026 par le chercheur José Rodriguez, permet de contourner l’écran de verrouillage de certains smartphones Android.
- L’accès indu à la galerie photo s’effectue lors d’un appel vidéo en exploitant des fonctionnalités d’effets visuels de Meta AI.
- Des modèles tels que le Google Pixel 6 Pro, le Pixel 11 et l’Oppo K13 sont concernés, tandis que les systèmes Samsung One UI 8.5 et Apple iOS sont protégés.
- Dans l’attente d’un correctif officiel de Meta et Google, les utilisateurs sont invités à restreindre manuellement les autorisations d’accès aux médias de l’application.
Une vulnérabilité de sécurité au cœur du verrouillage système
Une vulnérabilité de sécurité notable vient d’être mise au jour au sein de l’application WhatsApp sur Android. Révélée le 1er septembre 2026 par le chercheur José Rodriguez (@VBarraquito), cette faille permet de contourner l’écran de verrouillage de certains terminaux sans code ni empreinte digitale. L’exploitation de cette faille repose sur l’autorisation d’accès aux médias de l’appareil préalablement accordée à l’application. Cette découverte démontre qu’une simple permission applicative peut être détournée pour annuler les protections système de l’appareil. La faille découverte par le chercheur en sécurité José Rodriguez permet de contourner les protections biométriques et les codes d’accès de plusieurs terminaux Android.
Le mécanisme d’exploitation basé sur l’accès physique
L’attaque nécessite une manipulation physique du téléphone ciblé et ne peut pas s’effectuer à distance. L’assaillant doit avoir le smartphone entre les mains, par exemple dans un open space, un lieu public ou après un vol. Le processus implique deux appareils. Le premier lance un appel vidéo WhatsApp vers le smartphone cible verrouillé. Comme le permet la configuration standard, l’appel peut être décroché sans déverrouillage. Une fois connecté, l’intrus ouvre les effets d’arrière-plan, sélectionne « Créer avec Meta AI », puis « Modifier une photo ». Cette action déclenche l’affichage du sélecteur de médias Android par-dessus l’écran de verrouillage, sans demander de code ni de validation biométrique. L’attaque, qui nécessite un accès physique à l’appareil ciblé, repose sur une mauvaise coordination entre l’interface d’appel de Meta et la gestion des autorisations système de Google.
Une exposition variable selon les constructeurs
Tous les modèles de téléphones ne réagissent pas de la même manière à cette faille. Les démonstrations techniques ont prouvé l’efficacité de l’attaque sur des modèles spécifiques, notamment le Google Pixel 6 Pro, le Pixel 11, ainsi que l’Oppo K13 équipé de l’interface ColorOS 16, sous Android 16 ou Android 17. Sur ces plateformes, l’affichage de la galerie d’images est immédiat. À l’inverse, d’autres écosystèmes se révèlent mieux protégés. Sur un Samsung Galaxy S25 Ultra doté de la surcouche One UI 8.5, le système d’exploitation bloque l’action et redirige l’utilisateur vers l’écran de verrouillage d’origine. Du côté d’Apple, l’architecture d’intégration des appels tiers via iOS CallKit impose une interface d’appel native étanche, empêchant tout accès aux menus d’effets de WhatsApp tant que l’iPhone n’est pas déverrouillé. Si plusieurs modèles majeurs de Google et d’Oppo sont directement vulnérables, les appareils Samsung sous One UI 8.5 et les iPhone sous iOS demeurent protégés par leurs architectures respectives.
À lire aussi WhatsApp : fin du support pour les smartphones anciens à compter du 8 septembre
Les risques concrets pour la vie privée des utilisateurs
Les répercussions potentielles d’une telle faille touchent directement à l’intimité et à la sécurité numérique des utilisateurs. Si le contournement ne permet pas d’accéder aux conversations chiffrées de WhatsApp ni d’ouvrir d’autres applications, l’ouverture non autorisée de la galerie photo constitue un préjudice majeur. Aujourd’hui, les dossiers de stockage d’images font souvent office de coffre-fort numérique improvisé contenant des captures d’écran de discussions privées, des photographies intimes, ainsi que des scans de documents officiels comme des pièces d’identité ou des contrats de travail. La possibilité pour un tiers d’accéder à ce catalogue d’informations hautement confidentielles pose un risque évident d’atteinte à la vie privée ou d’usurpation d’identité. Bien que cette faille ne donne pas accès aux conversations de l’application, l’exposition de la galerie photo compromet directement des documents hautement confidentiels.
Mesures de contournement et attente d’un correctif officiel
Face à cette faille, l’éditeur Meta Platforms a fait savoir qu’un correctif de sécurité était en cours de développement avec Google, sans toutefois préciser de date de déploiement. En attendant, des réglages simples permettent de neutraliser cette vulnérabilité sur les appareils concernés. La méthode la plus efficace consiste à modifier les privilèges accordés à l’application. Pour ce faire, il faut se rendre dans les paramètres système du smartphone, sélectionner WhatsApp, puis, dans les autorisations de « Photos et vidéos », opter pour un accès limité afin d’exclure les albums sensibles de la visibilité automatique. Il est également recommandé d’ajuster les options d’affichage des notifications sur l’écran verrouillé pour minimiser les risques d’intrusion. Dans l’attente d’une mise à jour de sécurité conjointe de Meta et de Google, les experts recommandent de limiter immédiatement l’accès de l’application aux seuls dossiers non sensibles.
