Alarme : Votre vieux smartphone Android (Qualcomm) est un espion en puissance – même éteint !

Imaginez laisser votre smartphone sur un bureau le temps d’un café, et le retrouver sous contrôle total d’un pirate. C’est le scénario cauchemardesque révélé par des experts en sécurité lors de la conférence Black Hat Asia 2026. Une brèche profonde dans le firmware des puces Qualcomm expose des appareils quotidiens à un compromis rapide et persistant.

Quels appareils sont-ils touchés ?

Les chipsets concernés incluent les séries **MDM9x07**, **MDM9x45**, **MDM9x65**, ainsi que **MSM8909**, **MSM8916**, **MSM8952** et **SDX50**. Ces composants équipaient une vaste gamme de téléphones Android sortis entre 2014 et 2019, comme les Samsung Galaxy S7, S8 ou S10 5G, les Google Pixel 2 et 2 XL, le LG V50 ThinQ 5G, l’OnePlus 7 Pro 5G, ou encore le Xiaomi Mi Mix 3 5G. Sans oublier les modèles entrée et milieu de gamme omniprésents à l’époque. Pour les geeks, cela signifie que vos anciens flagships pour l’émulation rétro ou les sessions mobiles intenses pourraient être vulnérables. D’après des analyses récentes, Qualcomm dominait le marché des SoC Android dans ces segments, touchant potentiellement des dizaines de millions d’unités encore en circulation aujourd’hui, au-delà des simples mobiles vers les objets connectés et systèmes embarqués.

Le fonctionnement technique de cette menace

La faiblesse, cataloguée **CVE-2026-25262**, réside dans le **BootROM**, un firmware gravé directement dans la puce pour sécuriser le démarrage. Elle cible le protocole **Sahara** activé en mode **EDL** (Emergency Download Mode), utilisé pour les restaurations d’urgence avant même le chargement de l’OS. Un assaillant doté d’un accès physique peut exploiter cela pour injecter du code malveillant en à peine quelques minutes, contournant toutes les protections. Sergey Anufrienko, expert chez Kaspersky, souligne : « Des vulnérabilités comme celle-ci peuvent permettre à des attaquants de déployer des logiciels malveillants difficiles à détecter et à supprimer ». Cette persistante menace s’étend aux secteurs industriels, avec des risques pour les chaînes d’approvisionnement.

Risques réels et mesures de protection

Une fois implanté, le malware donne accès aux données sensibles, active caméra et micro à distance, ou installe des backdoors indétectables. Pire, un redémarrage classique ne purge rien : certains vers simulent le processus. Anufrienko avertit : « Les systèmes compromis peuvent simuler un redémarrage sans réellement se réinitialiser ». La solution radicale ? Épuiser complètement la batterie pour un reboot forcé. Qualcomm a accusé réception, mais aucun patch logiciel global n’existe à ce jour, la nature hardware limitant les correctifs. En contexte, Google a récemment colmaté d’autres failles Qualcomm zero-day comme CVE-2026-21385 en mars 2026. Mettez à jour votre OS, surveillez physiquement vos devices, et envisagez un upgrade pour les usages intensifs comme le gaming mobile.

Dans un monde où nos phones stockent nos sessions de jeu, nos saves et nos communautés geek, cette alerte rappelle l’importance d’une vigilance accrue. Protégez vos outils quotidiens pour profiter sereinement de vos univers préférés.