La société Apple a lancé une vaste série de mises à jour de sécurité pour ses systèmes, visant à combler 286 vulnérabilités découvertes dans les dernières versions des systèmes d'exploitation iOS et macOS. L'importance de ces mises à jour réside dans le fait que l'entreprise a étendu le correctif d'une faille de type « Zero-day », déjà exploitée dans des attaques complexes, aux anciennes versions d'iOS 18.
Détails des vulnérabilités découvertes
Les mises à jour incluent la version macOS Golden Gate 27.2 qui a corrigé 263 vulnérabilités, tandis que la mise à jour iOS et iPadOS 27.2 en a corrigé environ 163, étant noté qu'environ 140 de ces failles sont communes aux deux systèmes. Les correctifs dans les systèmes iOS et iPadOS se sont concentrés sur la résolution d'erreurs de corruption de mémoire (Memory Corruption) dans le moteur WebKit, le noyau (Kernel), ainsi que dans les composants responsables du traitement des images, des polices, des fichiers PDF et du multimédia. Ces vulnérabilités ouvraient la porte aux attaquants pour exécuter des codes arbitraires (Arbitrary Code Execution) sur les appareils.
Les mises à jour comprenaient également la résolution de failles permettant aux applications d'accéder aux données sensibles des utilisateurs, de contourner les préférences de confidentialité, ainsi que des failles d'« évasion de bac à sable » (Sandbox Escapes), des problèmes dans le protocole Kerberos, et une faille pouvant permettre à un attaquant à proximité d'accéder au réseau Thread.
Risques d'élévation de privilèges dans macOS
Pour les utilisateurs de macOS, la mise à jour a corrigé plus de 12 vulnérabilités liées à l'élévation de privilèges (Privilege Escalation), qui pourraient accorder aux applications des privilèges d'accès « root » (Root Access). Les correctifs incluaient également la résolution de failles dans Gatekeeper, des problèmes de corruption de mémoire dans les composants du système de fichiers, ainsi que le colmatage de failles dans les services de gestion à distance (Remote Management) et SMB qui pourraient être exploitées via le réseau local ou à distance pour exécuter des codes arbitraires.
Traitement de la faille « Zero-day »
Dans une démarche proactive, Apple a étendu le correctif de la faille CVE-2026-86950 à la version iOS 18.7.11. Cette faille, découverte par l'équipe de sécurité de Meta, avait été exploitée dans des attaques qu'Apple a qualifiées de « très sophistiquées ». Bien que les versions plus récentes d'iOS et de macOS (version 27) ne semblent pas affectées par cette faille, l'extension du correctif aux versions plus anciennes garantit la protection des utilisateurs qui ne sont pas encore passés aux systèmes les plus récents.
Qu'est-ce que cela signifie pour les utilisateurs ?
Ces mises à jour ne se limitent pas à combler des failles de routine, mais représentent une réponse à des attaques actives ciblant les appareils des utilisateurs. Il est impératif pour les utilisateurs d'iPhone, d'iPad et de Mac de s'assurer de l'installation immédiate des dernières versions disponibles, d'autant plus que certaines failles permettent de prendre le contrôle de l'appareil à distance ou d'accéder à des données de confidentialité sensibles à l'insu de l'utilisateur. Les mises à jour incluent également d'autres systèmes tels que tvOS, watchOS, visionOS et Safari pour garantir un écosystème de sécurité intégré.