La faille Android GhostMap, décrite le 5 novembre 2026 par Bitdefender Labs, la division de recherche de l'éditeur de sécurité Bitdefender, peut empêcher un smartphone de terminer son démarrage et obliger son propriétaire à effacer toutes ses données. Selon Bitdefender, aucun correctif n'est disponible à la date de publication.

L'enquête a commencé le 12 août 2026, lorsqu'un dropper bancaire trouvé dans la nature a fait planter les émulateurs d'analyse des chercheurs pendant l'installation. Le problème venait d'Android lui-même et non du logiciel malveillant. Ce type de défaut rappelle d'autres bugs du système, comme la faille SMS of Death qui coupe les appels et plante le téléphone.

Comment la faille GhostMap Android plante le téléphone ?

La faille GhostMap vient d'une gestion incohérente des entrées ZIP par deux bibliothèques d'Android, libziparchive et libandroidfw. Quand un processus lit au-delà du contenu réel d'un fichier, Android l'arrête avec une erreur native de type SIGBUS.

Le processus system_server, cœur du système, plante alors en boucle. Le téléphone ne termine jamais son démarrage. Bitdefender résume la situation ainsi : « Elle produit la boucle de plantage répétée, sans autre issue qu'une réinitialisation d'usine ».

Une application sans code ni permission suffit-elle ?

Selon Bitdefender, l'application malveillante n'a pas besoin d'être ouverte ni de demander la moindre permission. Les chercheurs ont construit une application de test qui ne contient aucun code exécutable et ne réclame aucune permission.

Il s'agissait d'une démonstration, et non d'un logiciel malveillant actif. Bitdefender n'a observé aucune exploitation de cette boucle de plantage persistante dans la nature. Les scénarios d'abus restent hypothétiques.

Redémarrage, mode sans échec, ADB : quelles options de récupération ?

Les options pour récupérer un téléphone touché par GhostMap sont limitées. D'après les tests de Bitdefender, ni le redémarrage ni le mode sans échec ne règlent le problème. Une réinitialisation d'usine peut être nécessaire, et elle efface les données stockées localement.

Une suppression de l'application via ADB (Android Debug Bridge) est possible pendant la boucle seulement si le débogage USB était déjà activé. Les chercheurs précisent que cela dépend du timing et peut cesser de fonctionner après un redémarrage complet.

Ce que Bitdefender dit de la réponse de Google

Bitdefender affirme avoir transmis la faille à Google les 20 et 25 août 2026 via le programme Android & Devices Vulnerability Reward Program. Selon Bitdefender, la première demande a été classée « Won't Fix (Not Reproducible) ».

Après la seconde, qui incluait une preuve de concept fonctionnelle, Google aurait jugé le sujet hors du périmètre d'un correctif de sécurité et l'aurait transmis à une équipe pour une éventuelle version future. Cette position ne repose que sur le récit de Bitdefender, car Google n'a fait aucune déclaration publique. Bitdefender estime que, avec les règles de gravité actuelles de Google, le bug serait classé « High ». Google avait corrigé en novembre 2016 une variante plus faible, référencée CVE-2016-6724.

Quels appareils Android sont concernés par GhostMap ?

Bitdefender indique que le problème touche Android 10 et les versions suivantes. Les tests détaillés ont été menés sur un Pixel 10 sous Android 17 avec le correctif de sécurité du 5 août 2026. Aucun autre constructeur n'a été testé, la faille se situant dans la base d'Android.

Bitdefender rattache GhostMap aux problèmes de différentiel d'analyse, où des composants interprètent différemment la même structure d'APK. Master Key et Janus en sont des précédents. Les droppers sont par ailleurs une menace récurrente, comme Anatsa sur Google Play, un sujet proche de la cyberattaque Poisoned Source sur Android et iPhone.

Bitdefender Mobile Security signale les fichiers malformés sous le nom Android.Riskware.Ghostmap.rA. Android n'autorise pas les applications tierces à bloquer des installations : l'utilisateur doit donc réagir à l'alerte. Il reste conseillé d'éviter les applications suspectes, d'installer uniquement depuis des magasins de confiance, de fuir les APK en sideload et de garder Android à jour.