Android : la question dit deux niveaux, le bouton n'imprime que le 1er octobre

Le panneau au-dessus de l'ascenseur pose une question, imprimée : pourquoi ce bulletin a-t-il deux niveaux de correctif. Tu regardes les boutons. Il n'y en a qu'un de daté. 2026-10-01. La question reste sur le mur. Le second bouton n'a pas de numéro. Si tu appuies sur « le correctif d'octobre », tu n'as pas encore dit quelle phrase du panneau tu as lue, celle du haut ou celle de la question 2.

Le bulletin est publié le 5 octobre 2026, mis à jour le 8 octobre 2026. Le tableau des versions dit 1.0 le 5 octobre, « Bulletin Published », et 1.1 le 8 octobre, « AOSP links added ». La ligne du bas dit dernière mise à jour 2026-10-08 UTC. Le corps, sur la page que j'ai lue après cette mise à jour, dit que les correctifs de code source ont été publiés dans le dépôt AOSP et liés depuis le bulletin. Je ne reconstitue pas le texte du 5 octobre. Le tableau, lui, attribue l'ajout des liens au 8.

Le chapeau et la question 2 n'impriment pas le même bouton

Le chapeau : les niveaux de correctif 2026-10-01 ou plus haut couvrent tous ces problèmes. La réponse 1, plus bas : les niveaux 2026-10-01 ou plus tard couvrent tous les problèmes associés au niveau 2026-10-01. « Tous ces problèmes », c'est la page. « Associés à ce niveau », c'est une autre formule. Je ne les soude pas.

La question 2 demande pourquoi ce bulletin a deux niveaux de correctif. La réponse dit que les deux niveaux donnent aux partenaires la marge de corriger plus vite un sous-ensemble de vulnérabilités semblables sur tous les appareils, et qu'on les encourage à tout corriger et à utiliser le dernier niveau. Puis la seule consigne datée : les appareils qui utilisent le niveau 2026-10-01 doivent inclure tous les problèmes associés à ce niveau, plus les correctifs de tous les bulletins précédents. Le second niveau n'a pas de date dans cette réponse. Les seules dates en 2026-10 que la page imprime sont 2026-10-01, pour le niveau, et 2026-10-08, pour la mise à jour du bulletin. Pas de second niveau daté. Je n'en invente pas un pour que la question ait l'air résolue.

Le fabricant qui inclut ces mises à jour doit poser la chaîne [ro.build.version.security_patch]:[2026-10-01]. Pour certains appareils sous Android 10 ou plus, la mise à jour système Google Play peut avoir une chaîne de date qui correspond au niveau 2026-10-01. « Correspond » est le mot. Je ne le lis pas comme une seconde date.

Les partenaires sont prévenus de tous les problèmes au moins un mois avant la publication. La phrase ne donne pas le jour de l'envoi. Je ne le calcule pas.

Vingt-cinq lignes, et la plus grave n'est pas la même selon l'étage

J'ai compté vingt-cinq CVE, toutes en 2026. Sept dans Framework. Dix-huit dans System. Aucune ligne des tableaux lus n'était marquée Moderate ou Low. Critical et High, seulement, dans ce que j'ai sous les yeux.

Le chapeau choisit la plus grave : une vulnérabilité critique dans le composant System, qui peut mener à une élévation de privilège locale, sans privilège d'exécution supplémentaire, sans interaction de l'utilisateur. L'évaluation, dit-il, suppose que les mitigations de plateforme et de service sont éteintes pour le développement, ou contournées. Je garde la supposition. Je ne la retire pas pour faire une phrase plus nette.

La section Framework a sa propre « plus grave », et ce n'est pas la même : un déni de service distant, sans privilège supplémentaire, sans interaction. Dans le tableau, c'est CVE-2026-58865, DoS, Critical, versions 14, 15, 16, 16-qpr2, 17. Les six autres lignes Framework sont High, cinq élévations de privilège et un déni de service, et elles ont la même colonne de versions.

La section System répète, pour son étage, la phrase du chapeau : élévation de privilège locale, sans privilège en plus, sans interaction. Son tableau a six Critical. Quatre élévations de privilège, CVE-2026-55269, CVE-2026-55280, CVE-2026-58835, CVE-2026-58880, en versions 16, 16-qpr2, 17. Deux dénis de service critiques : CVE-2026-49933, la même colonne 16 et au-dessus, et CVE-2026-55265, qui, elle, redescend à 14, 15, 16, 16-qpr2, 17. Le chapeau a choisi l'élévation locale. Le tableau a aussi des DoS critiques. Je ne reclasse pas.

Les colonnes qui ne font pas toute la hauteur

Douze lignes System sont High. Une exécution de code à distance, CVE-2026-49878, de 14 à 17. Quatre élévations : CVE-2026-45513 et CVE-2026-49885 de 14 à 17, CVE-2026-49880 à partir de 16, CVE-2026-55286 en 17 seul. Quatre divulgations : CVE-2026-28667 et CVE-2026-49937 de 14 à 17, CVE-2026-45516 à partir de 15 (pas de 14 dans la case), CVE-2026-45524 en 17 seul. Trois dénis de service : CVE-2026-55266 de 14 à 17, CVE-2026-55279 et CVE-2026-58859 en 17 seul.

La section Google Play system updates met trois de ces CVE dans des composants Project Mainline. Telephonycore : CVE-2026-58859. WiFi : CVE-2026-45524 et CVE-2026-49878. Ce sont des renvois. Les trois identifiants sont déjà dans le tableau System. Je ne les ajoute pas au vingt-cinq. Et cette section-là ne réimprime ni la gravité, ni la colonne de versions. Je ne transporte pas le « 17 seul » dans une case que la section Play n'a pas.

La question 6 dit que les vulnérabilités de ce bulletin sont requises pour déclarer le dernier niveau de correctif, et que celles des bulletins appareil ou partenaire, dont le bulletin Pixel, ne le sont pas. Des fabricants peuvent publier les leurs : la liste dit Google, Huawei, LGE, Motorola, Nokia, ou Samsung. Je n'ouvre pas ces papiers pour donner un numéro au second bouton.

✍️ À toi : le niveau de correctif affiché dans les réglages du téléphone que tu as vraiment, et s'il imprime 2026-10-01 ou une autre chaîne. Le panneau a une question. Ton appareil a une ligne.

Le bulletin d'octobre est daté du 5, liens ajoutés le 8, et il compte vingt-cinq CVE dont sept critiques. Le chapeau dit qu'un niveau 2026-10-01 ou plus haut couvre tous les problèmes de la page, et il place la plus grave dans une élévation locale du composant System. La question 2 dit qu'il y a deux niveaux. La réponse ne date que le premier. Le second bouton, sur la page que j'ai lue, n'avait pas de numéro.