Vous recevez une photo sur WhatsApp, peut-être d’un numéro inconnu, vous l’ouvrez distraitement… et sans le savoir, vous venez d’offrir les clés de votre téléphone à un pirate. Ce scénario, digne d’un film d’espionnage, a pourtant un fond de vérité technique. Des vulnérabilités réelles, comme celle référencée CVE-2025-21042 sur certains Samsung, ont montré qu’une simple image DNG pouvait, sans aucune interaction de l’utilisateur, exécuter du code malveillant. Comment un fichier qui ne contient « que » des pixels peut-il se transformer en cheval de Troie ? Décryptage.
Pour comprendre le danger, il faut d’abord dissiper un mythe : une image (format JPEG, PNG, etc.) n’est pas un programme exécutable. En temps normal, elle ne contient que des données de couleurs et de luminosité destinées à être affichées à l’écran. Elle ne peut pas « s’exécuter » d’elle-même.
Le problème ne vient pas de l’image, mais du logiciel qui l’ouvre. Pour décoder et afficher une photo, WhatsApp (ou le système d’exploitation) utilise des bibliothèques de traitement d’images, aussi appelées codecs. Ce sont des morceaux de code conçus pour lire les spécifications techniques d’un fichier image. Un attaquant va alors créer une image piégée : soit en dissimulant du code malveillant dans les métadonnées (zone souvent négligée), soit en fabriquant un fichier malformé qui ne respecte pas les standards.
Lorsque le codec analyse cette image anormale, une faille de programmation (par exemple, une lecture hors mémoire ou un défaut de validation) peut être exploitée. Cette faille va tromper le logiciel, l’amenant à exécuter le code caché par le pirate au lieu de simplement afficher l’image. Pour qu’une photo devienne une arme, plusieurs conditions doivent être réunies :
Ce qui rend ce scénario angoissant, c’est la notion d’attaque « zero-click ». Contrairement à une arnaque classique où il faut cliquer sur un lien ou ouvrir une pièce jointe, l’attaque zero-click ne nécessite aucune interaction de la victime. La simple réception du fichier suffit à déclencher l’infection.
Sur WhatsApp, par défaut, les photos et vidéos sont téléchargées automatiquement dès que vous êtes connecté à un réseau Wi-Fi ou mobile. Ce paramétrage, pensé pour le confort d’utilisation, devient le vecteur d’attaque. Dès que l’image malveillante est téléchargée sur votre appareil, le système d’exploitation ou l’application va automatiquement faire appel aux codecs pour générer une miniature, analyser le fichier ou le préparer pour un éventuel affichage. C’est à ce moment précis, dans ce processus automatique et invisible, que la vulnérabilité est exploitée.
Il est cependant essentiel de comprendre la rareté et la complexité de ces attaques. Découvrir une faille zero-day (une faille inconnue des éditeurs et donc non corrigée) et créer un exploit fiable nécessite des compétences techniques exceptionnelles et des ressources importantes. C’est pourquoi ces techniques sont généralement l’apanage de logiciels espions (spyware) sophistiqués, réservés à des cibles de très haute valeur comme des journalistes d’investigation, des opposants politiques ou des dirigeants d’entreprise.
L’histoire de la cybersécurité mobile a connu plusieurs cas documentés où des images sont devenues des vecteurs d’attaque. L’exemple le plus récent et le plus parlant est celui de la vulnérabilité référencée CVE-2025-21042. Cette faille concernait certains téléphones Samsung et résidait dans une bibliothèque chargée de traiter les images au format DNG (un format « raw » utilisé en photographie). Des chercheurs ont démontré qu’une image DNG spécialement conçue, envoyée via WhatsApp, pouvait exploiter cette faille pour exécuter du code arbitraire à distance, prenant ainsi le contrôle de l’appareil.
Ce phénomène n’est pas nouveau. On peut citer l’exemple historique de CVE-2019-11932, une vulnérabilité affectant . À l’époque, un simple fichier GIF (un format d’image animée) malformé, reçu sur WhatsApp, permettait également à un attaquant d’exécuter du code malveillant.
Ces exemples, bien que spectaculaires, ont une caractéristique commune : une fois découvertes et signalées, ces failles ont été rapidement corrigées par les éditeurs (Google, Samsung, Meta pour WhatsApp) via des correctifs de sécurité. Cela illustre un point notable : le risque lié à ces vulnérabilités est temporaire. Il existe entre le moment où la faille est découverte par des pirates et le moment où vous installez la mise à jour qui la corrige. D’où l’importance d’une action simple mais trop souvent négligée.
Face à ces menaces, il n’est pas nécessaire de devenir un Expert en cybersécuritéLire la suite. Quelques gestes simples et réguliers constituent une protection extrêmement efficace.
Ces attaques zero-click sont l’arme des cyber espions les plus avancés, pas celle des pirates du dimanche. Pour l’utilisateur moyen, le risque est infinitésimal, à condition de suivre quelques règles d’hygiène numérique simples : mettre à jour ses appareils, désactiver le téléchargement automatique des médias, et rester vigilant face aux expéditeurs inconnus. La meilleure défense reste la mise à jour : chaque correctif appliqué est une porte fermée face à ces menaces.
avec futura
