Le correctif mensuel Samsung de septembre 2026 (SMR Sep-2026 Release 1) corrige deux vulnérabilités notées CVSS 9.8, toutes deux dans la même bibliothèque : libimagecodec.quram.so, le décodeur d'images propriétaire de Samsung.
| CVE | Décodeur | Description NVD |
|---|---|---|
| CVE-2026-21095 | DNG | Heap-based buffer overflow in DNG decoder of libimagecodec.quram.so prior to SMR Sep-2026 Release 1 allows remote attackers to execute arbitrary code. |
| CVE-2026-21096 | JPEG | Heap-based buffer overflow in JPEG decoder of libimagecodec.quram.so prior to SMR Sep-2026 Release 1 allows remote attackers to execute arbitrary code. |
Vecteur commun : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Ce qui rend ce lot sérieux tient en deux éléments du vecteur : AV:N (réseau) et surtout UI:N — aucune interaction de l'utilisateur. Sur une faille de décodeur d'images, cette combinaison décrit précisément le scénario que l'industrie appelle zéro-clic.
Pourquoi les décodeurs d'images sont la surface d'attaque la plus dangereuse d'un téléphone
Le raisonnement est simple et contre-intuitif.
Pour afficher une image, un téléphone doit la parser avant de pouvoir décider s'il fait confiance à son expéditeur. C'est l'ordre inverse de ce que la sécurité voudrait. Une image arrive par MMS, par RCS, par une messagerie, dans un aperçu de conversation, dans un cache de navigateur, dans une notification — et le code de décodage s'exécute pour produire une vignette, souvent avant que l'utilisateur ait ouvert quoi que ce soit.
D'où le UI:N. La victime n'a rien à cliquer. Dans le cas le plus défavorable, recevoir le message suffit.
C'est la mécanique derrière les chaînes d'exploitation les plus marquantes de la dernière décennie sur mobile, et la raison pour laquelle les décodeurs multimédias concentrent l'attention des chercheurs comme des attaquants.
Le cas particulier de Quram
libimagecodec.quram.so n'est pas du code Android standard : c'est une bibliothèque propriétaire de Samsung, fournie par Quramsoft, qui remplace ou complète les décodeurs de l'AOSP.
Deux conséquences pratiques :
Elle échappe au correctif Android de Google. Le bulletin de sécurité Android mensuel ne la couvre pas. Un téléphone Samsung à jour du correctif Google mais pas du SMR Samsung reste vulnérable.
Elle a un historique. Cette bibliothèque a déjà été à l'origine de plusieurs vulnérabilités critiques de décodage sur les appareils Samsung. Ce n'est pas une découverte isolée mais un composant régulièrement remis en cause.
Le format DNG mérite une mention
CVE-2026-21095 vise le décodeur DNG (Digital Negative), le format brut d'Adobe. C'est un choix intéressant du point de vue de l'attaquant : le DNG est un conteneur complexe basé sur TIFF, beaucoup moins testé que le JPEG, et surtout beaucoup moins attendu. Un filtre qui inspecterait les pièces jointes se concentrerait sur le JPEG et le PNG ; le DNG passe souvent sans examen particulier tout en étant traité par la même bibliothèque.
Appareils et versions concernés
| Plateforme | Versions affectées |
|---|---|
| Samsung Android | 14.0, 15.0, 16.0, 17.0 |
La plage couvre quatre générations d'Android, donc l'essentiel du parc Samsung en circulation — des Galaxy S récents aux modèles encore maintenus.
Correctif : SMR Sep-2026 Release 1.
Vérifier sur l'appareil :
Paramètres → Mise à jour du logiciel → Informations sur la mise à jour
Le champ à lire est « Correctif de sécurité Android » ou « Security patch level » : il doit indiquer 1er septembre 2026 ou une date ultérieure.
En gestion de flotte (MDM), la requête utile est le niveau de correctif de sécurité, pas la version d'Android :
ro.build.version.security_patch >= 2026-09-01
C'est la distinction qui compte : un appareil peut être sur Android 17 et porter un niveau de correctif de mars.
Ce qu'un attaquant obtient
libimagecodec.quram.so est chargée par le processus qui affiche l'image. Selon le point d'entrée, il peut s'agir de l'application de messagerie, de la galerie, du navigateur ou d'un service système de génération de vignettes.
Une exécution de code dans ce contexte donne l'accès aux données de l'application concernée — et surtout un point de départ pour une chaîne : sur mobile, une primitive mémoire dans un processus de rendu est classiquement enchaînée avec une évasion de bac à sable puis une élévation vers le noyau.
Le S:U (scope unchanged) le confirme : la faille seule ne franchit pas la frontière du bac à sable. Elle fournit la première marche, pas l'escalier complet.
Pour une organisation, l'enjeu concret est la messagerie professionnelle et les données d'entreprise sur appareil personnel. Un terminal compromis via une image donne accès aux conversations, aux pièces jointes et, selon la configuration, aux jetons d'authentification des applications métier.
Détection
Soyons direct : sur mobile, il n'existe pas de détection exploitable côté utilisateur pour ce type de faille. Pas de journal accessible, pas d'EDR comparable à celui d'un poste, et une exploitation réussie ne laisse aucune trace visible.
Les seuls signaux indirects, tous faibles :
- Plantages répétés de l'application de messagerie ou de la galerie — les tentatives ratées font tomber le processus avant que les réussies n'aboutissent
- Consommation de batterie ou de données anormale et inexpliquée
- Applications inconnues ou profils de gestion non reconnus
Le contrôle réellement utile n'est donc pas la détection mais l'inventaire : quelle proportion de ta flotte porte un niveau de correctif antérieur au 1er septembre 2026 ? C'est la seule question à laquelle tu peux répondre avec certitude, et c'est celle qui détermine ton exposition.
Mitigation
1. Appliquer le SMR de septembre 2026
C'est l'unique correctif. Sur une flotte gérée, force la mise à jour plutôt que de compter sur l'utilisateur : les mises à jour Samsung requièrent souvent une confirmation, et beaucoup d'appareils restent des semaines en attente.
2. Réduire le décodage automatique
En attendant le déploiement, la mesure la plus efficace est de limiter ce qui est décodé sans action de l'utilisateur :
- Désactiver le téléchargement automatique des médias dans les applications de messagerie (WhatsApp, Signal, Telegram, Messages) — c'est ce qui supprime le caractère zéro-clic
- Désactiver la récupération automatique des MMS :
Messages → Paramètres → Paramètres avancés → Récupération automatique
Ces réglages ne corrigent rien mais retirent le scénario le plus dangereux : celui où la victime n'a rien fait.
3. Vérifier le niveau de correctif, pas la version d'Android
C'est l'erreur la plus fréquente en gestion de flotte. Ajoute ro.build.version.security_patch à tes tableaux de conformité MDM, et fais-en un critère d'accès conditionnel si ta solution le permet.
4. Traiter les appareils en fin de support
Les modèles Samsung qui ne reçoivent plus de SMR ne recevront jamais ce correctif. Sur un parc professionnel, un appareil hors support accédant aux données d'entreprise est un risque permanent qu'aucune mesure technique ne referme.
Pourquoi surveiller en continu votre flotte mobile
Les terminaux mobiles occupent le même angle mort que les équipements réseau : ils accèdent aux données de l'entreprise, mais ils n'apparaissent dans aucun inventaire logiciel, ne sont pas scannés, et leur cycle de correctif dépend à la fois du constructeur et de l'opérateur. Ajoute à cela des bibliothèques propriétaires comme celle-ci, invisibles pour les bulletins Android de Google, et la question « suis-je concerné ? » devient difficile à trancher.
Avec cveo.tech, inventorie tes terminaux mobiles et leurs niveaux de correctif au même titre que tes serveurs, et reçois une alerte automatique dès qu'une CVE critique cible une de tes versions exactes.