Apple bouche une faille déjà exploitée sur les iPhone, iPad et Mac

Près de quatre iPhone sur cinq tournent encore sous iOS 26. C’est ce qui rend la mise à jour publiée par Apple franchement impossible à repousser si vous utilisez encore cette génération sur iPhone, iPad ou Mac.

Des systèmes encore très utilisés

Le correctif vise iOS 26, iPadOS 26 et macOS 26. Apple explique qu’une faille de sécurité corrigée dans ces systèmes a peut-être déjà été exploitée dans le cadre d’une attaque très sophistiquée, dirigée contre des personnes précises sur des versions d’iOS antérieures à iOS 27.

Le contraste est là. Les versions les plus récentes, iOS 27, iPadOS 27 et macOS 27, sorties plus tôt ce mois-ci, ont bien reçu une mise à jour mardi elles aussi, mais elles ne sont pas concernées par cette faille en cours d’exploitation.

Une faille logée dans le moteur graphique

Le bug, référencé CVE-2026-86950, se trouvait dans le moteur graphique principal utilisé pour l’interface et l’affichage des iPhone, iPad et Mac. Dit autrement, pas un petit composant isolé, mais une brique centrale de l’expérience visuelle.

Et ce détail compte. Un moteur graphique a généralement un accès assez large au reste du système. En cas d’exploitation réussie, un attaquant pourrait donc récupérer un éventail important de données personnelles sur l’appareil visé. Meta, via son équipe de sécurité produit, est crédité pour la découverte.

Pour le reste, c’est maigre. Apple n’a pas détaillé la manière dont la faille a été repérée, ni indiqué combien d’appareils auraient pu être touchés, si des victimes existent réellement. Même flou sur l’origine des attaques possibles, entre éditeurs de spyware étatique et cybercriminels plus classiques.

Peu de détails, mais un contexte déjà tendu

Cette alerte arrive juste après une autre correction importante chez Apple, autour de la faille CVE-2026-86869. Celle-ci pouvait permettre à un pirate de voler des données sur iPhone, iPad ou Mac sans action de l’utilisateur.

La société belge ironPeak a expliqué la semaine dernière qu’il s’agissait d’un bug zero-click, activable via un iMessage piégé, donc sans clic, sans ouverture volontaire, sans signal visible. Ce type de faille est particulièrement recherché par les vendeurs d’outils de surveillance et les fabricants de spyware.

Selon ironPeak, ce bug pouvait aussi contourner BlastDoor, la couche de sécurité qu’Apple a mise en place pour empêcher du code malveillant de sortir de la sandbox d’iMessage et de compromettre l’appareil. Apple l’a corrigé en septembre avec iOS 27, iPadOS 27 et macOS 27, en créditant Niels Hofmans d’ironPeak ainsi que des chercheurs de Meta qui ont confirmé les résultats sur X. Là aussi, on ne sait pas si la faille a servi dans des attaques avant son correctif.