Le Galaxy S26 fait partie des smartphones Android les plus récents et les mieux protégés de Samsung. Pourtant, des chercheurs en sécurité sont parvenus à le compromettre deux fois au cours de la première journée du Pwn2Own Ireland 2026, une compétition consacrée à la recherche de vulnérabilités inédites.
L’événement ne signifie pas que des millions de Galaxy S26 sont actuellement piratés dans la nature. Pwn2Own fonctionne justement dans le sens inverse : des chercheurs cherchent volontairement des failles sur des appareils préparés pour la compétition afin que les constructeurs puissent ensuite les corriger avant que des cybercriminels ne les exploitent à grande échelle.
Le Galaxy S26 faisait partie des principales cibles du concours
Le Pwn2Own Ireland 2026 permet aux équipes de sécurité de s’attaquer à plusieurs catégories de produits, dont les smartphones, les appareils connectés, les imprimantes et certaines infrastructures liées à l’intelligence artificielle.
Lors de la première journée, les chercheurs ont exploité 32 vulnérabilités zero-day sur l’ensemble des produits testés. Le Galaxy S26 s’est particulièrement distingué puisqu’il a été compromis lors de deux tentatives distinctes.
Dans son compte rendu de la première journée du Pwn2Own Ireland 2026, BleepingComputer précise que plusieurs équipes ont réussi leurs attaques contre le smartphone Samsung.
Une partie des failles était déjà connue de Samsung
Il faut néanmoins apporter une nuance importante. Toutes les vulnérabilités utilisées pendant les attaques n’étaient pas nécessairement totalement inconnues du constructeur.
Dans certains cas, les chercheurs combinent plusieurs failles afin d’obtenir une chaîne d’exploitation complète. Une partie de ces problèmes peut avoir déjà été signalée au fabricant sans qu’un correctif ait encore été distribué.
Le terme « piraté » ne signifie donc pas qu’un attaquant peut aujourd’hui prendre le contrôle de n’importe quel Galaxy S26 simplement en connaissant son numéro de téléphone.
Samsung dispose normalement de 90 jours pour corriger les problèmes
Les vulnérabilités découvertes lors du Pwn2Own sont communiquées aux fabricants de manière responsable.
La Zero Day Initiative laisse généralement 90 jours aux constructeurs pour publier les correctifs nécessaires avant de rendre publics les détails techniques exploitables.
Samsung dispose donc d’un délai pour intégrer les corrections dans ses prochaines mises à jour de sécurité.
Les propriétaires d’un Galaxy récent peuvent suivre l’état des mises à jour dans notre grand dossier sur One UI 9, Android 17 et les Galaxy compatibles, qui recense les principales versions distribuées par Samsung.
Le Galaxy S26 pourra encore être attaqué pendant le concours
Le premier jour n’était pas la fin des tests. Le Galaxy S26 doit encore être ciblé pendant les journées suivantes du Pwn2Own, au même titre que le Google Pixel 10 et d’autres appareils.
Il est donc possible que d’autres vulnérabilités soient découvertes avant la fin de l’événement.
Pour Samsung, le résultat n’est pas nécessairement une catastrophe. Trouver ces problèmes dans un environnement contrôlé permet précisément de les corriger avant qu’ils ne deviennent réellement dangereux pour les utilisateurs.
Faut-il s’inquiéter si vous possédez un Galaxy S26 ?
À ce stade, aucune campagne d’attaque utilisant ces vulnérabilités n’est signalée contre le grand public.
Le meilleur réflexe reste donc le même : installer les mises à jour de sécurité dès qu’elles deviennent disponibles.
Samsung vient justement de détailler son correctif d’octobre 2026 avec plusieurs vulnérabilités Android critiques. L’enchaînement avec le Pwn2Own rappelle surtout qu’un smartphone très récent n’est jamais totalement à l’abri d’une faille.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
