Une vulnérabilité dans WhatsApp pour Android, révélée début septembre 2026, permet à quiconque ramasse un téléphone verrouillé de parcourir l'intégralité de sa galerie photos sans avoir à saisir de code PIN, de schéma ou d'identifiant biométrique. Cette faille ne nécessite aucune compétence en piratage, aucun code malveillant et aucune installation de logiciel. Elle utilise uniquement les fonctions ordinaires de l'application elle-même.

Comment fonctionne l'exploit

L'attaque est d'une simplicité déconcertante. L'attaquant doit avoir un accès physique à l'appareil cible et disposer d'un second téléphone capable de passer un appel vidéo WhatsApp. Lorsque l'appel arrive, le téléphone verrouillé affiche l'interface d'appel de WhatsApp. Android permet aux utilisateurs de répondre aux appels entrants sans déverrouiller l'appareil, une fonctionnalité de confort conçue pour les appels téléphoniques classiques dont WhatsApp hérite.

Une fois l'appel vidéo établi, l'attaquant appuie sur l'icône des filtres, puis sélectionne l'option « Créer avec l'IA » dans le sélecteur de fond d'écran. En appuyant sur « Modifier la photo », le sélecteur de médias de WhatsApp s'ouvre, affichant toutes les images stockées sur l'appareil. Ce sélecteur se superpose à l'interface d'appel, qui s'exécute elle-même au-dessus de l'écran de verrouillage. À aucun moment Android ne demande d'authentification.

L'ensemble de la séquence dure environ dix secondes. L'attaquant n'a besoin de rien installer, de modifier aucun paramètre, ni même de connaître la méthode de déverrouillage de l'appareil.

Pourquoi iOS échappe au problème

La même vulnérabilité n'existe pas sur l'iPhone d'Apple. Lorsqu'un appel entrant arrive sur un appareil iOS, l'interface d'appel propre au système d'exploitation prend le dessus, remplaçant tout écran que l'application tierce pourrait tenter d'afficher. WhatsApp n'a jamais l'occasion d'afficher sa propre interface d'appel sur l'écran de verrouillage, il n'existe donc aucun chemin de l'appel entrant vers le sélecteur de photos sans avoir préalablement déverrouillé l'appareil.

Cette différence découle d'un choix architectural fondamental. Android permet aux applications qui déclarent l'autorisation appropriée de présenter des interfaces sur l'écran de verrouillage, permettant à des fonctionnalités telles que la navigation guidée ou les réveils de fonctionner sans déverrouillage complet. L'approche d'Apple est plus restrictive : les applications tierces sur iOS ne peuvent pas afficher leurs propres interfaces sur l'écran de verrouillage pour les appels entrants. Le compromis se situe entre le confort et une surface d'attaque réduite.

Meta confirme la faille

Meta, la société mère de WhatsApp, a reconnu la vulnérabilité. Dans une déclaration, l'entreprise a indiqué que le problème « se limite à un cas rare où une personne a physiquement accès à l'appareil d'un utilisateur », le cantonnant à un cas rare où une personne aurait un accès physique à l'appareil de l'utilisateur. Un correctif est en cours de déploiement via le Google Play Store.

La description de l'attaque par Meta comme « rare » est techniquement défendable, mais elle sous-estime le risque pratique. Les attaques par accès physique sont courantes dans les contextes domestiques : un partenaire, un colocataire ou un collègue qui tient brièvement un téléphone laissé sans surveillance pourrait exploiter cette faille en quelques secondes. La vulnérabilité est également pertinente dans les contextes d'application de la loi et de contrôle aux frontières, où les responsables peuvent avoir accès à un appareil mais pas à ses identifiants de déverrouillage.

Les limites de l'argument de l'accès physique

Les chercheurs en sécurité font depuis longtemps la distinction entre les attaques à distance et les attaques physiques. Les exploits à distance, qui peuvent être lancés de n'importe où sur le réseau, sont considérés comme la catégorie la plus dangereuse. Les vulnérabilités par accès physique nécessitent une proximité et une opportunité, ce qui réduit le nombre d'attaquants potentiels.

Cette distinction est valide, mais elle peut créer un faux sentiment de sécurité. Un téléphone laissé sur un bureau au travail, sur une table de chevet à domicile ou sur une borne de recharge dans un salon d'aéroport est physiquement accessible à toute personne à proximité. La faille de WhatsApp n'exige absolument aucune expertise technique. Elle fonctionne avec la version standard de l'application, sans modification. L'obstacle à l'exploitation n'est pas la compétence, mais l'opportunité.

Ce que les utilisateurs d'Android peuvent faire dès maintenant

Jusqu'à ce que le correctif atteigne tous les appareils, les utilisateurs peuvent réduire leur exposition en restreignant l'accès de WhatsApp aux photos. Dans les paramètres Android, sous Applications, puis WhatsApp, puis Permissions, puis Photos et vidéos, l'option « Autoriser un accès limité » permet aux utilisateurs de refuser à l'application l'accès à certains albums. L'inconvénient est que cette restriction s'applique également lors d'une utilisation normale, rendant plus difficile le partage de photos via l'application.

Une alternative consiste à vérifier si les paramètres de l'appareil permettent de désactiver la capacité de WhatsApp à apparaître sur l'écran de verrouillage, bien que cela varie selon la version d'Android et le fabricant. L'activation des mises à jour automatiques dans le Google Play Store garantira que le correctif sera appliqué dès qu'il sera disponible.

Responsabilité des plateformes et réglementation européenne

La vulnérabilité soulève des questions sur la confiance qu'Android accorde aux applications tierces pour gérer leur propre comportement sur l'écran de verrouillage. Le système d'exploitation de Google permet aux applications de déclarer qu'elles ont besoin de fonctionner par-dessus l'écran de verrouillage, et l'interface d'appel de WhatsApp est un cas de figure de ce type. L'hypothèse est que l'application elle-même appliquera les contrôles d'accès appropriés. Lorsqu'elle échoue, le système d'exploitation ne rattrape pas l'erreur.

Dans le cadre du règlement sur les services numériques de l'Union européenne et du futur acte sur la cyberrésilience, les plateformes numériques font face à des obligations croissantes de traiter les failles de sécurité de manière rapide et transparente. La base d'utilisateurs de WhatsApp en Europe se chiffre en centaines de millions. Toute vulnérabilité ayant des implications directes sur la vie privée, même celle nécessitant un accès physique, est un sujet de préoccupation réglementaire, en particulier lorsqu'elle touche une plateforme de messagerie appartenant à une entreprise déjà sous surveillance pour ses pratiques en matière de données.

Organisations

Meta