Vulnérabilité grave dans les puces mediatek : 875 millions de téléphones potentiellement à risque

Une faille de sécurité majeure a été découverte dans plusieurs puces fabriquées par MediaTek, exposant potentiellement 875 millions de téléphones Android à des attaques. La puce Helio G99, présente sur de nombreux modèles, est particulièrement touchée.

Des données sensibles accessibles en moins d'une minute

Des chercheurs de Ledger, société spécialisée dans la sécurité des cryptomonnaies, ont révélé que cette vulnérabilité permet à un attaquant d'extraire des informations confidentielles – messages, photos, voire les clés de récupération de portefeuilles crypto – en quelques secondes. Cette faille, identifiée sous le nom de CVE-2026-20435, ouvre la voie à la récupération du mot de passe PIN et des clés racine protégeant les données chiffrées.

La gravité de la situation est telle que, même lorsque l'appareil est verrouillé et éteint, une connexion via USB pendant le démarrage peut permettre aux pirates de compromettre la sécurité du téléphone. Le mot de passe maître est ainsi exposé, rendant les données stockées accessibles à des superordinateurs.

Il ne s'agit pas d'un simple problème de confidentialité. Les mots de passe et PINs conservés dans des applications comme Notes sont désormais vulnérables, et le téléphone pourrait être induit à accepter n'importe quelle empreinte digitale ou reconnaissance faciale comme code d'accès.

La liste des puces MediaTek affectées est longue et comprend les séries MT6700/MT6800/MT6900, MT8100/MT8600/MT8700 et MT698x/MT699x. Des modèles populaires de marques comme Oppo, Realme, Vivo et Xiaomi sont concernés.

Le problème, c'est la fragmentation du système Android. La mise à jour de sécurité de mars, qui corrige cette faille, n'est pas déployée aussi rapidement que souhaité par les fabricants. Si votre appareil a cessé de recevoir les mises à jour, vos données numériques sont potentiellement exposées.

Charles Guillemet, directeur technique de Ledger, insiste sur la leçon à tirer : « Cela prouve que les smartphones ne sont pas des coffres-forts pour les informations sécurisées. »

La faille a été prouvée sur le Nothing Phone (1). Si vous utilisez un téléphone équipé d'une puce MediaTek listée, vérifiez si la mise à jour de sécurité de mars est disponible et installez-la immédiatement. Si votre téléphone ne reçoit plus de mises à jour, il est conseillé de ne pas y stocker de cryptomonnaies et de considérer un remplacement.

Cette vulnérabilité rappelle une vérité amère : la sécurité numérique est un combat permanent, et même les dispositifs les plus courants peuvent devenir des cibles.