Les photos stockées sur un smartphone Android restent consultables via WhatsApp, même lorsque l’appareil est verrouillé par un code ou un mot de passe. La faille, révélée le 2 septembre 2026 par le site Mobile Hacker, ne nécessite aucune compétence technique particulière pour être exploitée.
Comment la faille est exploitée
Deux téléphones et un accès physique bref suffisent. La personne qui détient l’appareil visé lance un appel vidéo depuis un second mobile vers celui-ci, puis ouvre le menu associé à l’icône baguette magique dans l’interface de l’appel. L’onglet dédié à l’arrière-plan propose d’y placer une image personnelle, option qui figure juste après le réglage de flou. En validant ensuite la fonction de retouche par intelligence artificielle, la totalité du stockage photo de l’appareil s’affiche à l’écran, sans qu’aucun mot de passe n’ait été demandé. Aucune barrière de sécurité ne bloque donc cette manœuvre, ce qui interroge sur son usage possible entre proches ou colocataires ayant un accès régulier au téléphone d’autrui.
La position de Meta
Sur ce point, le compte officiel de WhatsApp a reconnu les faits via un message publié sur X, précisant que les équipes travaillaient déjà au déploiement d’une correction. Filiale du groupe Meta, l’entreprise a néanmoins relativisé la gravité du problème en évoquant des cas où une personne obtient un accès physique à l’appareil d’un tiers, sans mentionner explicitement les situations de couples ou de foyers partagés.
Or cette omission a été relevée par plusieurs observateurs, l’accès physique répété à un téléphone étant une réalité fréquente. Depuis les paramètres du système, en ouvrant la fiche de l’application WhatsApp puis la rubrique des autorisations liées aux photos et vidéos, il devient possible de sélectionner un accès restreint à certains albums seulement, plutôt qu’à l’intégralité de la mémoire du téléphone.
Une succession de failles en 2026
Cet épisode rejoint une longue liste de bugs traités par le géant américain depuis le début de l’année. Début mai 2026, deux failles distinctes, répertoriées CVE-2026-23866 et CVE-2026-23863, avaient déjà été corrigées : la première touchait la validation des messages intégrant des Reels Instagram sur mobile, la seconde concernait des fichiers piégés capables de tromper l’interface de la version Windows. Selon les données publiées à l’époque, ni l’une ni l’autre n’avait été exploitée avant sa correction.
Un autre problème, lié cette fois à l’identification du système d’exploitation des utilisateurs, avait fait l’objet d’un premier correctif en janvier 2026, jugé incomplet par des chercheurs qui avaient constaté la persistance d’une fuite de métadonnées. Pour donner un ordre de grandeur, WhatsApp compte aujourd’hui plus de deux milliards de comptes actifs à travers le monde, un volume qui en fait une cible de choix pour l’ensemble de la communauté de la cybersécurité. La date exacte du correctif visant la faille des photos n’a pas été communiquée par l’entreprise.
