Vulnérabilité critique dans les puces Qualcomm : un signal d’alarme pour la sécurité mobile
Une faille majeure révélée en décembre 2025
En décembre 2025, Qualcomm a rendu publique une vulnérabilité critique, référencée sous le code CVE-2025-47372, susceptible d’affecter des centaines de millions d’appareils à travers le monde. Avec un score de 9 sur 10 sur l’échelle de sévérité CVSS, cette faille touche le processus de démarrage de nombreux smartphones Android, des modems 5G et divers systèmes embarqués. En clair, une grande partie des terminaux utilisés quotidiennement en entreprise — notamment les modèles équipés de puces Snapdragon chez Samsung, OnePlus ou Xiaomi — pourraient être exposés.
Comprendre la menace : quand le coffre-fort s’ouvre trop facilement
Pour saisir l’enjeu, il faut imaginer le démarrage d’un téléphone comme l’ouverture d’un coffre-fort : un moment critique où l’appareil vérifie sa propre intégrité. Or la vulnérabilité découverte permet à un attaquant de manipuler précisément cette étape initiale. Techniquement, il s’agit d’un buffer overflow, une erreur qui survient lorsque le système ne contrôle pas correctement la taille des données reçues. Un fichier malveillant peut alors dépasser l’espace prévu et injecter du code non autorisé.
La gravité tient au fait que l’attaque intervient avant le chargement du système d’exploitation. Les antivirus et autres solutions de sécurité, totalement aveugles à ce stade, ne peuvent ni détecter ni bloquer une compromission. De plus, un logiciel malveillant installé dans le bootloader résiste aux réinitialisations d’usine : même un téléphone “remis à zéro” demeure infecté.
Une menace à large spectre
Les puces concernées couvrent un large éventail : Snapdragon 8 (Gen 1 à Gen 3), les séries 6 et 7, les modems X65 et X75, ainsi que les modules FastConnect. Cela signifie que la majorité des smartphones Android récents pourraient être vulnérables, tout comme certains équipements industriels, automobiles et IoT. L’attaque ne se limite donc pas au simple cadre du téléphone mobile : elle touche l’écosystème numérique dans son ensemble.
Que doivent faire les entreprises ? Une course contre la montre
Face à une faille aussi profonde, les organisations disposent d’un levier essentiel : la mise à jour. Les terminaux Android doivent impérativement recevoir le patch de sécurité de décembre 2025. Les équipements professionnels, eux, nécessitent un contact direct avec les fournisseurs pour connaître les calendriers de déploiement. Les appareils les plus sensibles — ceux des dirigeants ou des équipes accédant à des données critiques — doivent être traités en priorité.
Au-delà de l’urgence immédiate, cette situation rappelle la nécessité d’une véritable discipline : disposer d’une politique de correction des failles, d’un outil de gestion centralisée des terminaux mobiles et d’audits réguliers pour vérifier que les appareils restent protégés.
La sécurité mobile, grande oubliée des entreprises
La vulnérabilité CVE-2025-47372 met en lumière un phénomène plus profond : la sécurité mobile demeure souvent le parent pauvre de la cybersécurité. Les audits révèlent fréquemment des appareils professionnels dont les mises à jour datent de six mois ou plus, des politiques inexistantes et des pratiques BYOD insuffisamment encadrées. Cette “dette de sécurité” fragilise les organisations et ouvre la voie à des menaces durables.
Lorsque la faille touche un composant aussi fondamental que le bootloader, les risques deviennent considérables : interception des communications, accès aux applications d’entreprise, vol d’identifiants ou encore espionnage industriel quasi indétectable.
Le smartphone professionnel, nouveau point d’entrée stratégique
Avec la généralisation du travail hybride, le smartphone n’est plus un outil périphérique : il devient l’un des points d’accès les plus directs au système d’information. Le protéger avec la même rigueur que les serveurs ou postes de travail n’est plus une option. Cela implique une gestion centralisée des terminaux, des délais stricts pour les mises à jour, un inventaire permanent et une sensibilisation régulière des utilisateurs.
Accompagner les entreprises vers une sécurité mobile renforcée
Pour les organisations qui souhaitent structurer ou renforcer leur approche, un accompagnement spécialisé peut faire la différence. Varden Security propose des audits de sécurité mobile, une aide à la mise en conformité NIS2 et un soutien pour le choix et le déploiement d’outils de gestion de flotte. Dans un environnement numérique où les menaces évoluent rapidement, cette vigilance devient un élément essentiel de la résilience des entreprises.