Un programme crucial à la gestion des failles de sécurité vient de perdre son financement. Ce changement discret pourrait ralentir les futures mises à jour Android. Et cela pourrait bien aussi rendre le suivi des menaces plus difficile à coordonner.

Chaque mois, Google publie une mise à jour de sécurité Android pour corriger les failles détectées dans le système. Ces correctifs sont essentiels pour protéger les données des utilisateurs contre les attaques et logiciels espions. En février 2025, l’une de ces failles, active depuis 2008, a été exploitée pour accéder à distance aux fichiers d’un smartphone via le port USB. Cette vulnérabilité critique, nommée CVE-2024-53104, montre à quel point il est crucial d’avoir un suivi rigoureux des menaces. Ce suivi, qui repose donc sur un système appelé CVE,  est aujourd’hui menacé.

Le programme CVE, soutenu jusqu’ici par le gouvernement américain, vient de perdre son financement. Ce système attribue un numéro unique à chaque faille de sécurité connue. Google, comme de nombreux acteurs du secteur, s’appuie dessus pour organiser ses bulletins mensuels de sécurité Android. Sans ce socle commun, la gestion des vulnérabilités risque de devenir plus complexe, notamment dans les futures versions du système, comme Android 15 et Android 16.

La fin du programme CVE pourrait ralentir et désorganiser les mises à jour Android

Avec la disparition du CVE, chaque fabricant de smartphones pourrait devoir développer son propre système de suivi des failles. Ce changement risque de créer des écarts entre les marques, avec des retards dans la détection et la correction des vulnérabilités. La standardisation des bulletins mensuels pourrait disparaître, rendant la communication plus floue pour les utilisateurs et les professionnels. Cela complique également le travail des chercheurs en sécurité.

Les failles déjà identifiées resteront disponibles, mais le programme ne sera plus mis à jour à partir du 16 avril 2025. Google pourrait tenter de créer une base de remplacement, mais aucune solution n’a encore été annoncée. D’autres entreprises pourraient également proposer une alternative. En attendant, cette situation crée un vide critique. Si aucun système ne prend la relève, Android pourrait perdre en réactivité et en transparence dans sa gestion de la sécurité.

Source : The Register