Samsung a publié sur son portail security.samsungmobile.com le détail du bulletin de sécurité de septembre 2026, et la liste donne le vertige. Jusqu’à 90 vulnérabilités colmatées d’un coup, dont plusieurs classées critiques par le référentiel CVE. Les possesseurs de Galaxy, du S25 Ultra au A16, sont concernés.
Le constructeur coréen corrige en bloc des failles héritées du socle Android (maintenu par Google dans son propre bulletin mensuel) et y ajoute une couche propriétaire baptisée Samsung Vulnerabilities and Exposures (SVE), qui cible les composants spécifiques à l’écosystème Galaxy. Firmware modem, pile Bluetooth, framework Knox, interface One UI 7… la surface d’attaque est vaste et le patch ratisse large, preuve que chaque mois la dette de sécurité se renouvelle autant qu’elle se comble.
Plusieurs correctifs touchent cette fois le kernel Exynos et les pilotes graphiques Mali, des points d’entrée historiquement exploités par des logiciels espions commerciaux. D’autres visent des failles dans le gestionnaire de permissions qui permettaient à une application tierce d’accéder aux données biométriques stockées localement. Le niveau de patch requis passe à 2026-09-01 pour le socle Android, puis à 2026-09-05 pour la couche Samsung, deux paliers que les opérateurs devront valider avant diffusion OTA.
Le rythme de déploiement varie encore selon les modèles et les régions. Les Galaxy S25, S24 FE et Z Fold6 reçoivent généralement la mise à jour dès la première semaine du mois, tandis que les gammes A et M patientent parfois trois à quatre semaines de plus. Samsung s’est engagé à fournir sept ans de mises à jour de sécurité sur ses flagships lancés depuis 2024, un effort industriel que peu de concurrents Android égalent à ce jour (Google Pixel et, dans une moindre mesure, certains modèles Xiaomi).
Vérifier manuellement la disponibilité du correctif reste la méthode la plus fiable, via Paramètres > Mise à jour logicielle > Téléchargement et installation. Le numéro de build affiché doit contenir la mention « septembre 2026 » pour confirmer l’application effective. Ignorer ce type de bulletin revient à laisser la porte entrouverte et les attaquants n’ont besoin que d’une fissure.
Quatre-vingt-dix failles en un seul cycle mensuel, c’est le prix de la complexité logicielle embarquée dans un smartphone vendu à des centaines de millions d’exemplaires. Samsung livre le patch. Aux utilisateurs, maintenant, d’appuyer sur le bouton.
