CVE-2026-59006

Le système de gestion des fenêtres d'Android présente une faille dans la manière dont il gère les modes d'occlusion tactile au sein du fichier `WindowState.java`. Ce composant est responsable de la gestion de la superposition des fenêtres et de l'acheminement des événements tactiles vers l'application active. Cette faille permet à une application malveillante de créer une superposition invisible qui incite l'utilisateur à appuyer sur un bouton caché ou à accorder une permission.

Un attaquant peut utiliser cette technique de « tapjacking » pour voler des informations privées ou tromper un utilisateur afin qu'il effectue des actions non souhaitées. Cette attaque nécessite que l'application malveillante soit installée sur l'appareil et dépend entièrement de l'interaction de l'utilisateur avec l'écran. Comme elle nécessite une interaction physique de l'utilisateur et l'installation locale d'une application, il ne s'agit pas d'une menace d'exécution à distance.