Failles critiques Apple : le CERT-FR somme les utilisateurs de mettre à jour iPhone, iPad et Mac

L’Agence nationale de la sécurité des systèmes d’information ^[1] a publié un avis sans ambiguïté. « De multiples vulnérabilités ont été découvertes dans les produits Apple » ^[2], résume le CERT-FR dans le bulletin CERTFR-2026-AVI-0563. Derrière cette formulation administrative, plus de 50 correctifs de sécurité ^[3] embarqués dans iOS 26.5 ^[4], la mise à jour la plus massive depuis iOS 26.2 ^[5]. Le CERT-FR, qui classe ses avis selon une nomenclature publique (risque critique, élevé, modéré), recommande dans tous ces cas l’application des correctifs « dans les meilleurs délais » - une formulation administrative dont l’urgence dépend du niveau attribué au bulletin.

LES ENJEUX

Plus de 50 failles corrigées d'un coup

iOS 26.5 embarque plus de 50 correctifs de sécurité, dont 10 concernent WebKit, le moteur de rendu utilisé par tous les navigateurs sur iOS.

Exécution de code à distance

Plusieurs vulnérabilités permettent à un attaquant de faire tourner son propre code sur l'appareil, via une simple page web malveillante.

Zero-days déjà exploités

Apple a corrigé neuf zero-days exploités dans la nature en 2025. Le rythme s'accélère, avec des attaques ciblées qualifiées d'extrêmement sophistiquées.

L'IA entre dans la chasse aux failles

Deux CVE corrigées dans iOS 26.5 sont créditées à l'équipe red team d'Anthropic, partenaire d'Apple depuis avril dans le Project Glasswing.

Les anciens iPhone aussi protégés

Pour les appareils non compatibles iOS 26.5, Apple a publié des branches de maintenance: iOS 18.7.9, 16.7.16 et 15.8.8.

Le périmètre est large. Sont concernés les iPhone 11 et modèles ultérieurs, les iPad Pro 12,9 pouces de 3ᵉ génération, les iPad Air à partir de la 3ᵉ génération, les iPad de 8ᵉ génération et les iPad mini de 5ᵉ génération ^[6]. Pour les appareils plus anciens, Apple a déployé des branches de maintenance: iOS 18.7.9 ^[7], 16.7.16 ^[8] et 15.8.8 ^[9], iPadOS 17.7.11 ^[10], macOS Sequoia 15.7.7 ^[11] et macOS Sonoma 14.8.7 ^[12].

Ce que les attaquants peuvent faire

Le CERT-FR dresse une liste d’impacts qui couvre l’essentiel du spectre offensif. Les failles permettent « une exécution de code arbitraire » ^[13], « une élévation de privilèges » ^[14], « une atteinte à la confidentialité des données » ^[15], une atteinte à l’intégrité des données ^[16] et un contournement de la politique de sécurité ^[17]. Traduit en termes opérationnels: un attaquant peut faire tourner son propre code sur l’appareil, obtenir des droits qu’il ne devrait pas avoir, et lire ou modifier des données protégées.

Dix des cinquante correctifs concernent WebKit ^[18], le moteur de rendu qui propulse Safari et que tous les navigateurs tiers sur iOS et iPadOS sont contraints d’utiliser ^[19]. Cette obligation élargit mécaniquement la surface d’attaque: une faille WebKit ne touche pas seulement Safari, elle expose Chrome, Firefox et tous les autres butineurs installés sur iPhone. Concrètement, « l’attaque se déclenche par la consultation d’une page web ou l’ouverture d’un document contenant du code malveillant » ^[20].

Des failles déjà dans la nature

Un zero-day désigne une vulnérabilité exploitée par des attaquants avant qu’un correctif ne soit disponible - l’éditeur dispose de « zéro jour » pour réagir. La distinction avec une faille corrigée à titre préventif est: dans le premier cas, des appareils sont déjà compromis lorsque le patch sort.

Sur ce point, le bulletin du CERT-FR sur iOS 26.5 ne mentionne pas explicitement d’exploitation active au moment de la publication, à la différence du correctif de février 2026 ^[21] qui qualifiait CVE-2026-20700 d’« attaque extrêmement sophistiquée » ^[22][23] visant des individus ciblés. Mais le contexte récent invite à la prudence: Apple a corrigé neuf vulnérabilités zero-day exploitées dans la nature en 2025 ^[24], et le patch de novembre contenait plus d’une centaine de vulnérabilités ^[25][26]. En décembre ^[27], deux failles WebKit - CVE-2025-14174 ^[28] dans la bibliothèque graphique ANGLE ^[29][30] et CVE-2025-43529, un use-after-free dans le moteur de rendu ^[31][32] - étaient exploitées dans des attaques ciblées contre des individus précis ^[33]. Apple et Google avaient collaboré sur le patch de la première, déjà déployé dans Chrome depuis le début décembre ^[34][35]. L’ensemble avait été signalé par le Google Threat Analysis Group (TAG) et les équipes Apple SEAR ^[36][37].

On se souvient surtout de l’affaire Pegasus, du nom du logiciel espion du groupe israélien NSO, qui avait démontré dès 2021 qu’une exploitation zero-day d’iOS pouvait viser journalistes, opposants et dirigeants à l’échelle mondiale via une simple notification iMessage. Depuis, chaque patch WebKit ou noyau d’Apple s’inscrit dans ce paysage où des outils industrialisés circulent entre acteurs étatiques et brokers commerciaux.

Le rôle des chercheurs et de l’IA

Deux CVE de ce lot mentionnent explicitement « Claude, Anthropic » dans leurs crédits ^[38]. La première, CVE-2026-28942, concerne WebKit ^[39] et est créditée à Milad Nasr et Nicholas Carlini, membres de l’équipe de red teaming d’Anthropic ^[40][41]. La seconde, CVE-2026-28952, touche le noyau: un dépassement d’entier permettait à une application de provoquer un arrêt système ^[42]. À la date de publication, aucune source consultée ne précise les crédits exacts de CVE-2026-28952 au-delà de la mention générique d’Anthropic et Claude dans le bulletin Apple. Une autre vulnérabilité, CVE-2026-28995, a été signalée par Vamshi Paili et Tony Gorez pour Reverse Society ^[43][44][45].

Apple est devenu, début avril ^[46], l’un des onze partenaires de lancement ^[47] du Project Glasswing d’Anthropic, aux côtés de Google, Microsoft, NVIDIA et JPMorgan ^{[48][49][50][51][52]}. Cinq semaines plus tard ^[53], iOS 26.5 sort avec ses cinquante correctifs. La fenêtre de divulgation responsable d’Anthropic court sur 90 jours, extensible à 135 ^[54][55] - ce qui signifie que d’autres failles découvertes via ce canal devraient apparaître dans les mises à jour à venir. Il s’agit, à notre connaissance, de l’un des premiers cas documentés où une IA généraliste est explicitement créditée dans des CVE Apple, signal d’un basculement progressif de la recherche de vulnérabilités vers l’assistance automatisée.

Les anciens appareils ne sont pas oubliés

Parallèlement à iOS 26.5, Apple a publié trois branches de maintenance qui descendent loin dans la gamme. IOS 18.7.9 ^[7] couvre les modèles qui supportent encore iOS 18 mais que leurs propriétaires n’ont pas migré vers la version 26. IOS 16.7.16 ^[8] vise les appareils restés sur iOS 16 - typiquement les iPhone 8 et iPhone X, exclus depuis plusieurs versions des mises à jour majeures. IOS 15.8.8 ^[9] descend encore plus bas, jusqu’à l’iPhone 6s et au premier iPhone SE. Côté iPad, iPadOS 17.7.11 ^[10] couvre les iPad 6ᵉ génération et iPad Pro de 2017. Sur Mac, macOS Sequoia 15.7.7 ^[11] et macOS Sonoma 14.8.7 ^[12] prolongent le support pour les machines qui n’ont pas franchi le pas vers macOS Tahoe 26.

Cette politique de support étendu - jusqu’à sept ou huit ans pour certains modèles - reste l’un des arguments commerciaux les plus solides d’Apple. Mais elle suppose une action de l’utilisateur: les branches de maintenance ne se déploient pas toutes seules sur un appareil dont la mise à jour automatique a été désactivée.

L’angle mort: les téléphones non mis à jour

Le paradoxe de cet écosystème: les correctifs existent, mais les attaquants prospèrent sur les appareils qui ne sont pas à jour. Le kit d’exploits Coruna, découvert par le Google Threat Intelligence Group ^[56] avec la firme iVerify ^[57], rassemble 23 exploits ciblant iOS 13 à 17.2.1 ^[58][59]. Il est inopérant contre les versions 17.3 et supérieures ^[60][61]. Le kit a pourtant été observé dans trois contextes différents en moins d’un an ^[62] - d’abord espionnage, puis cybercriminalité, avec un implant nommé PlasmaLoader qui s’injecte dans le processus racine powerd ^[63][64] et scanne les notes Apple à la recherche de phrases de récupération de portefeuilles crypto ^[65]. La version actuelle vise 18 portefeuilles dont MetaMask, Phantom et Trust Wallet ^[66][67].

« Ce manque d’accès aux données système sur les téléphones laisse les équipes de sécurité et les utilisateurs avec trois options: faire aveuglément confiance aux fabricants, essayer de construire quelque chose eux-mêmes, ou utiliser des plateformes dédiées » ^[68], résume Rocky Cole, co-fondateur d’iVerify ^[69]. La traduction pour le grand public est plus simple: sans mise à jour, l’appareil reste vulnérable à des outils déjà industrialisés.

Que faire, concrètement

La recommandation se résume à une action. Installer iOS 26.5 ou iPadOS 26.5 sur les appareils compatibles, ou les versions de maintenance pour les modèles plus anciens. Sur Mac, passer à macOS Sequoia 15.7.7 ^[11] ou macOS Sonoma 14.8.7 ^[12]. Activer les mises à jour automatiques ^[70] reste la précaution la plus efficace pour les particuliers: la majorité des campagnes d’attaque documentées exploitent des failles déjà corrigées, sur des appareils qui n’ont simplement pas reçu le patch.

Le scénario décrit par Clubic à propos de la combinaison WebKit/dyld résume la mécanique: « WebKit comme point d’entrée, dyld comme point d’ancrage plus bas dans le système » ^[71]. Un site malveillant déclenche l’exécution de code, un second composant donne le contrôle stable. C’est cette mécanique en deux temps que les correctifs accompagnant iOS 26.5 cherchent à casser - à condition d’être installés.