Apple vient de corriger une vulnérabilité qui a déjà pu être exploitée par des hackers pour mener une attaque ciblée. Si votre iPhone, iPad ou Mac fonctionne encore sous les anciennes versions des systèmes d’Apple, mieux vaut ne pas attendre pour installer la dernière mise à jour et ouvrir vos paramètres dès maintenant.
Le correctif de sécurité concerne iOS 26, iPadOS 26 et macOS 26. La vulnérabilité, référencée sous le nom CVE-2026-86950, se trouve dans le moteur graphique utilisé par les appareils Apple pour gérer l’interface et leurs éléments visuels. Selon Apple, elle aurait pu permettre de mener une attaque “extrêmement sophistiquée” contre certaines personnes utilisant une version d’iOS antérieure à iOS 27.
Un moteur graphique dispose généralement d’un accès important au reste du système d’exploitation. Une exploitation réussie pourrait donc potentiellement permettre à un attaquant d’accéder à une quantité importante de données personnelles présentes sur l’appareil. Apple ne précise toutefois pas combien de personnes auraient effectivement été victimes de cette faille, ni si elle a été exploitée par des cybercriminels ou par des entreprises spécialisées dans les logiciels espions.
Le risque est élevé et déjà présent
Apple indique que la vulnérabilité a été découverte par l’équipe de sécurité de Meta, mais n’a pas donné davantage de détails sur les circonstances de sa découverte. L’entreprise n’a pas non plus confirmé l’existence d’attaques ayant effectivement compromis des appareils à cause de cette faille.
Le terme employé par Apple est tout de même important. En effet, l’entreprise indique que la vulnérabilité “a peut-être été exploitée“. C’est pourquoi la mise à jour est particulièrement importante pour les utilisateurs concernés, et ils sont nombreux. D’après les propres statistiques d’Apple, près de quatre utilisateurs d’iPhone sur cinq utilisent encore iOS 26. Même si iOS 27 est disponible depuis le début du mois, l’ancienne version reste donc largement présente sur les appareils en circulation.
Cette alerte arrive en plus d’une autre vulnérabilité récemment corrigée par Apple. Référencée CVE-2026-86869, celle-ci était particulièrement préoccupante puisqu’elle était qualifiée de “zero-click”. Concrètement, cela signifie qu’elle peut être exploitée sans que la victime ait besoin de cliquer sur un lien, d’ouvrir une pièce jointe ou même d’interagir avec le message malveillant. Dans ce cas précis, des chercheurs de l’entreprise belge ironPeak ont découvert qu’un iMessage spécialement conçu pouvait potentiellement déclencher l’attaque automatiquement.
La vulnérabilité pouvait notamment contourner BlastDoor, un système de sécurité mis en place par Apple pour isoler les contenus reçus via iMessage et empêcher du code malveillant de s’échapper de cet environnement. Apple a corrigé cette seconde faille avec iOS 27, iPadOS 27 et macOS 27. Là encore, il n’est pas établi qu’elle ait effectivement été utilisée dans des attaques avant sa correction.
Si votre appareil attend encore une mise à jour, ne tardez pas
Pour les utilisateurs, le message est donc assez simple : vérifiez la version du système installée sur votre iPhone, iPad ou Mac et installez les mises à jour de sécurité disponibles. Les propriétaires d’appareils déjà passés à iOS 27, iPadOS 27 ou macOS 27 ne sont pas concernés par la première vulnérabilité décrite ici.
Apple ne donne volontairement pas tous les détails techniques permettant de reproduire l’exploitation, ce qui est courant lorsqu’une faille pourrait avoir été utilisée dans la nature. Ça limite les informations disponibles sur la menace, mais évite également de fournir immédiatement un mode d’emploi aux personnes qui chercheraient à exploiter des appareils encore vulnérables.
