WhatsApp sur Android : une faille permet d'accéder aux photos sans déverrouiller le téléphone

Une faille dans WhatsApp pour Android permet d'accéder à la galerie photo d'un téléphone verrouillé, sans PIN ni empreinte. Signalée à Meta et Google, elle reste non corrigée à ce jour.

Il suffit de répondre à un appel vidéo WhatsApp sur un smartphone Android verrouillé pour ouvrir la totalité de la galerie photo de l'appareil. Pas de code, pas d'empreinte, pas de schéma. Le sélecteur de médias s'affiche librement, contournant l'écran de verrouillage comme s'il n'existait pas. La faille a été repérée par le chercheur en sécurité Jose Rodriguez, connu pour une série de découvertes similaires sur Android et iOS. Selon 9to5Google, aucune compétence technique particulière n'est donc requise. Il faut juste avoir le téléphone entre les mains.

Un appel vidéo WhatsApp comme passe-partout

Quand un appel vidéo WhatsApp arrive sur un Android verrouillé, n'importe qui tenant l'appareil peut répondre sans le déverrouiller, exactement comme pour un appel téléphonique classique. Une fois la communication établie, il suffit de taper sur l'icône des effets vidéo, de naviguer vers l'onglet « Arrière-plans », de sélectionner « Créer avec Meta AI » puis « Modifier la photo » : la galerie complète s'ouvre. Mais jamais le système ne réclame la moindre authentification.

L'outil d'édition photo, conçu pour enrichir l'expérience d'appel, accède donc aux images stockées sur l'appareil sans vérifier au préalable que l'utilisateur est bien le propriétaire du téléphone. La prévisualisation des photos s'affiche avant même que le système demande un PIN ou une authentification biométrique.

Pixel et Oppo exposés, Samsung et iPhone épargnés

Étrangement, cette faille n'affecte pas tous les smartphones Android. Au travers des tests menés par Lukáš Štefanko, chercheur chez ESET, un Google Pixel 6 Pro et un Oppo K13 sous ColorOS 16 sont tous deux vulnérables. Mais ce n'est pas le cas du Samsung Galaxy S25 Ultra sous One UI 8.5. Ce dernier renvoie l'utilisateur vers l'écran de verrouillage et exige une authentification avant de continuer.

Les iPhones ne sont quant à eux pas concernés. Le framework CallKit d'Apple contraint WhatsApp à utiliser l'interface d'appel native d'iOS. L'accès aux menus personnalisés de l'application pendant un appel est bloqué. Et, c'est donc aussi le cas de l'outil de remplacement d'arrière-plan qui permet le contournement.

La faille a été signalée à Meta et Google. Aucun correctif n'a été annoncé à ce jour. Il est quand même possible de se rendre dans les paramètres de permissions d'Android, et de restreindre l'accès de WhatsApp aux photos et vidéos. L'application ne peut alors accéder qu'à un sous-ensemble d'images préapprouvées, pas à l'ensemble de la bibliothèque.