CVE-2026-58886

Le composant InputMonitor d'Android, plus précisément au sein de la fonction `updateInputWindows`, contient une erreur de logique qui permet le « tapjacking ». Ce logiciel gère la manière dont le système surveille et traite les entrées tactiles à travers les différentes fenêtres d'application. Cette faille permet à une application malveillante de superposer une couche invisible ou trompeuse sur une application légitime afin d'inciter l'utilisateur à effectuer des actions involontaires.

Un attaquant peut utiliser cela pour obtenir une élévation de privilèges locale, accordant potentiellement à une application malveillante des permissions qu'elle ne devrait pas avoir en usurpant des invites système. Cette attaque nécessite que l'application malveillante soit installée localement sur l'appareil et repose entièrement sur l'interaction de l'utilisateur, car la victime doit physiquement appuyer sur l'écran. Comme elle nécessite une installation locale et un comportement spécifique de l'utilisateur, il ne s'agit pas d'une menace d'exécution à distance.