Apple publie 11 mises à jour de sécurité et corrige une faille exploitée sur d’anciens iPhone

Les anciens iPhone reçoivent un correctif contre des attaques ciblées

Apple a publié 11 mises à jour de sécurité le 26 octobre 2026, dont un correctif pour une faille graphique exploitée touchant les iPhone XS, iPhone XS Max, iPhone XR et l’iPad de 7e génération. Ces mises à jour corrigent également des centaines de vulnérabilités sur les iPhone, iPad, Mac, Apple Watch, Apple TV, casques Vision Pro et Safari plus récents.

Pour les possesseurs de ces anciens appareils, la nouveauté la plus urgente est iOS 18.7.11 et iPadOS 18.7.11. Les deux versions corrigent CVE-2026-86950, une vulnérabilité de CoreGraphics qui, selon Apple, aurait pu être exploitée lors d’attaques très ciblées contre des personnes utilisant des versions antérieures à iOS 27. Le traitement d’un fichier spécialement conçu à cet effet pouvait permettre à un attaquant d’exécuter du code sur un appareil concerné.

Apple avait déjà corrigé cette vulnérabilité dans plusieurs versions plus récentes de ses systèmes d’exploitation le 28 septembre. La mise à jour d’octobre étend la protection aux appareils plus anciens grâce à un processus appelé rétroportage, qui consiste à apporter un correctif de sécurité à une ancienne version logicielle sans imposer le passage au système d’exploitation le plus récent.

Une autre mesure de sécurité concerne la compromission de certificats de l’autorité de certification indienne eMudhra. Apple a automatiquement bloqué les certificats web concernés dans Safari, Mail et les applications utilisant ses frameworks réseau et de sécurité. Certains outils en ligne de commande sur Mac nécessitent toutefois une intervention, car ils utilisent un fichier différent pour déterminer quels certificats sont fiables.

Les mises à jour publiées par Apple et le décompte des vulnérabilités

La liste des mises à jour de sécurité d’Apple date les 11 publications du 26 octobre. Elles couvrent trois générations de logiciels pour iPhone et iPad, trois systèmes d’exploitation Mac, deux branches logicielles pour Apple TV, watchOS, visionOS et Safari.

Les décomptes de vulnérabilités publiés sont les suivants :

• iOS 27.2 et iPadOS 27.2 : 163.
• iOS 26.7.2 et iPadOS 26.7.2 : 134.
• iOS 18.7.11 et iPadOS 18.7.11 : trois.
• macOS Golden Gate 27.2 : 263.
• macOS Tahoe 26.7.2 : 213.
• macOS Sequoia 15.8.2 : 197.
• tvOS 27.2 : 72.
• watchOS 27.2 : 62.
• visionOS 27.2 : 125.
• Safari 27.2 : 33.
• tvOS 26.6.1 : aucune entrée CVE publiée.

Ces chiffres totalisent 1 265 entrées de vulnérabilités dans les différentes mises à jour, pour au moins 329 failles distinctes. Une même vulnérabilité peut figurer dans plusieurs mises à jour, car les produits Apple partagent des composants logiciels. Si l’on ne considère qu’iOS et macOS 27.2, on obtient 286 vulnérabilités distinctes : 163 plus 263, dont environ 140 sont communes aux deux systèmes.

Pourquoi le correctif de CoreGraphics est important

CoreGraphics gère notamment le rendu du texte et l’affichage des images. CVE-2026-86950 est une faille d’écriture hors limites : le logiciel peut écrire des informations au-delà de la zone mémoire qui lui est réservée. Un attaquant peut exploiter cette erreur pour perturber un programme ou lui faire exécuter des instructions de son choix.

Meta Product Security a découvert la vulnérabilité. Apple, qui est responsable des systèmes d’exploitation concernés, a décrit l’alerte relative à l’exploitation dans son avis de sécurité :

Apple a connaissance d’un signalement selon lequel cette faille aurait pu être exploitée lors d’une attaque extrêmement sophistiquée visant des personnes en particulier sur des versions d’iOS antérieures à iOS 27.

Apple a également décrit l’impact technique et le correctif :

Le traitement d’un fichier conçu de manière malveillante peut entraîner l’exécution de code arbitraire. Une écriture hors limites a été corrigée grâce à un contrôle renforcé des limites.

Le contrôle des limites consiste à vérifier qu’un programme reste dans l’espace mémoire qui lui est attribué. La vulnérabilité a été qualifiée de zero-day, car des attaquants l’avaient exploitée avant qu’un correctif soit disponible. Apple n’a signalé aucune autre exploitation connue parmi les vulnérabilités couvertes par les mises à jour d’octobre.

Le correctif a été déployé sur différentes branches logicielles en quelques semaines :

• 28 septembre : Apple a publié des correctifs dans iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1.
• 29 septembre : les autorités américaines ont ajouté CVE-2026-86950 au catalogue des vulnérabilités exploitées connues.
• 26 octobre : iOS 18.7.11 et iPadOS 18.7.11 ont apporté le correctif aux anciens appareils répertoriés par Apple.

Les dates de publication de septembre et d’octobre sont séparées de 28 jours. Pour les possesseurs d’un iPhone XS, XS Max, XR ou d’un iPad de 7e génération, la mesure à prendre est d’installer la mise à jour proposée pour leur appareil. Apple n’a pas révélé publiquement qui étaient les personnes ciblées ni expliqué comment les fichiers malveillants leur sont parvenus.

Trois correctifs protègent les anciens appareils

iOS 18.7.11 et iPadOS 18.7.11 comprennent trois correctifs répertoriés, dont celui de CoreGraphics. Les deux autres concernent l’exposition de données sensibles et l’accès à l’appareil photo sans autorisation.

CVE-2026-65339 touche le framework Audio et pourrait exposer des informations sensibles sur l’utilisateur. CVE-2026-86990 concerne CoreMedia et pourrait permettre à une application malveillante d’accéder à l’appareil photo sans l’autorisation de l’utilisateur. CoreMedia fait partie des logiciels qu’Apple utilise pour gérer l’audio et la vidéo.

Apple indique que les iPhone XS, iPhone XS Max, iPhone XR et iPad de 7e génération sont compatibles avec ces mises à jour. Le numéro de build est 22H384. Cet identifiant permet aux utilisateurs et aux administrateurs de vérifier quelle révision logicielle est installée.

Ces trois correctifs montrent pourquoi une mise à jour de faible ampleur peut nécessiter une installation rapide. Pour ces appareils, elle associe la correction d’une faille exploitée à des mesures de protection des informations privées et de l’accès à l’appareil photo. Une mise à jour n’a pas besoin de corriger des centaines de failles pour répondre à des risques graves.

Des correctifs plus étendus pour les iPhone et iPad récents

L’avis de sécurité d’iOS d’Apple décrit les correctifs apportés à des composants dans iOS 27.2 et iPadOS 27.2, notamment CoreGraphics, CoreMedia, ImageIO et le noyau. Le noyau est la partie centrale d’un système d’exploitation : il gère le matériel, la mémoire et les échanges entre les programmes.

Les 163 vulnérabilités comprennent des problèmes dans WebKit, le moteur de rendu web d’Apple, ainsi que dans des composants qui traitent les images, les polices, les documents PDF, l’audio et la vidéo. Certaines pourraient permettre l’exécution de code lors du traitement de contenu malveillant par un appareil. D’autres pourraient permettre à des applications d’obtenir des données sensibles ou de contourner les réglages de confidentialité.

Ces versions corrigent également CVE-2026-86987, une vulnérabilité d’Apple Intelligence qui pourrait permettre à un attaquant distant d’accéder à des informations sensibles sur les iPhone et iPad compatibles. D’autres correctifs empêchent des évasions du bac à sable de WebContent, un environnement restreint destiné à isoler le contenu web du reste du système.

D’autres correctifs concernent l’usurpation de l’identité d’un serveur d’authentification Kerberos et l’accès à un réseau Thread par un attaquant à proximité. Kerberos aide les systèmes à vérifier les identités, tandis que Thread relie des appareils compatibles, notamment des équipements domotiques.

iOS 27.2 est compatible avec les iPhone 11 et modèles ultérieurs. iPadOS 27.2 est compatible avec l’iPad Pro 12,9 pouces de 4e génération, l’iPad Pro 11 pouces de 2e génération, l’iPad Air de 4e génération, l’iPad de 9e génération et l’iPad mini de 6e génération, ainsi qu’avec les modèles ultérieurs de ces gammes. La branche 26.7.2 couvre également certains iPad plus anciens, notamment l’iPad de 8e génération, l’iPad Air de 3e génération et l’iPad mini de 5e génération.

Les correctifs pour Mac concernent l’accès à distance et les contrôles système

macOS Golden Gate 27.2 affiche le décompte de vulnérabilités le plus élevé pour une version, avec 263 failles. Parmi ses correctifs figurent plus d’une douzaine de failles qui pourraient permettre à des applications d’obtenir un accès root, c’est-à-dire le niveau de contrôle le plus élevé sur un Mac.

Apple a également corrigé des évasions du bac à sable, des contournements de Gatekeeper et des problèmes de corruption de mémoire dans des composants qui gèrent les systèmes de fichiers et les images disque. Gatekeeper vérifie les logiciels téléchargés avant leur exécution pour aider les utilisateurs à éviter les applications non fiables.

Le partage d’écran, la gestion à distance et SMB, un protocole de partage de fichiers sur réseau, bénéficient également de correctifs. Certaines vulnérabilités peuvent être exploitées à distance ou depuis le réseau local. Une faille de la gestion à distance pourrait permettre à un attaquant distant d’exécuter du code, ce qui rend la mise à jour particulièrement importante pour les organisations qui gèrent des Mac sur un réseau.

macOS Tahoe 26.7.2 corrige 213 vulnérabilités, tandis que macOS Sequoia 15.8.2 en corrige 197. La version Tahoe comprend CVE-2026-43736, une faille de Siri qui pourrait permettre à une application d’accéder à des informations sensibles sur l’utilisateur.

Safari 27.2 est disponible séparément pour macOS Sequoia et macOS Tahoe et corrige 33 vulnérabilités. Les utilisateurs qui restent sur ces systèmes d’exploitation Mac peuvent ainsi installer une mise à jour du navigateur, en plus des correctifs système correspondants.

Les montres, téléviseurs et casques sont aussi concernés

Les mises à jour d’octobre d’Apple ne concernent pas seulement les téléphones et les ordinateurs. watchOS 27.2 corrige 62 vulnérabilités et est compatible avec l’Apple Watch Series 9 et les modèles ultérieurs. visionOS 27.2 corrige 125 vulnérabilités et concerne tous les modèles d’Apple Vision Pro.

tvOS 27.2 corrige 72 vulnérabilités sur l’Apple TV 4K de 2e génération et les modèles ultérieurs. L’Apple TV HD et l’Apple TV 4K de 1re génération reçoivent quant à elles tvOS 26.6.1, qu’Apple indique comme ne comportant aucune entrée CVE publiée.

Les identifiants CVE sont des références publiques qui permettent de suivre les vulnérabilités de sécurité. La liste d’Apple distingue la compatibilité matérielle de ces identifiants : il est donc important de vérifier le modèle exact de l’appareil pour savoir quelle mise à jour installer. Dans un foyer ou une entreprise, mettre à jour un téléphone seulement laisse les montres, téléviseurs, casques et ordinateurs avec leur version logicielle actuelle.

Pourquoi Apple a bloqué les certificats eMudhra

L’avis de sécurité d’Apple concernant eMudhra, publié le 23 octobre, décrit un problème distinct portant sur les clés privées de huit autorités de certification intermédiaires exploitées par eMudhra. Six ont émis des certificats TLS pour des sites web, et deux ont délivré des certificats utilisés pour signer des logiciels.

Un certificat de site web fait office de pièce d’identité. Une autorité de certification le signe afin que les logiciels puissent vérifier qu’une connexion correspond bien au site attendu. Toute personne détenant la clé privée d’une autorité intermédiaire pourrait créer des certificats semblant valides pour d’autres sites web.

Les clés eMudhra ont été générées avec un niveau d’aléa insuffisant, ce qui permettait de les calculer à partir des certificats publics. Le chercheur en sécurité Scott Helme a déclaré avoir retrouvé les huit en moins d’une seconde. eMudhra a attribué la faille à un problème survenu lors d’une cérémonie de génération de clés le 30 avril 2025 et a indiqué qu’une seule des autorités intermédiaires concernées avait été déployée en production et qu’aucune n’avait délivré de certificat à des utilisateurs finaux.

Un chercheur a signalé le problème le 17 octobre. Apple a commencé à bloquer 12 certificats TLS concernés le 19 octobre, puis a également bloqué emSign ECC Root CA - G3 le 23 octobre. Il existe 12 certificats TLS parce que chacune des six autorités TLS concernées possède deux versions de certificat, rattachées à des autorités racines de confiance différentes. eMudhra et Sectigo ont révoqué les certificats concernés.

Chrome, Firefox et Android ont également mis en place des mesures de blocage, tandis que des projets logiciels et des fournisseurs de systèmes d’exploitation ont apporté des modifications à leurs propres magasins de certificats. Aucune exploitation malveillante des clés eMudhra n’avait été confirmée. Les blocages automatiques d’Apple s’appliquent à Safari, Mail et aux applications utilisant ses frameworks réseau et de sécurité, sans que les utilisateurs aient à installer une mise à jour du système d’exploitation.

Certains outils Mac nécessitent encore une intervention distincte

Le problème qui subsiste est plus circonscrit pour les administrateurs et les développeurs sur Mac. Certains outils fournis avec macOS ou les outils de ligne de commande Xcode, dont curl, git, python3, ruby, perl et openssl, vérifient les certificats à partir du fichier /etc/ssl/cert.pem. Pour les chaînes de certificats validées par ce fichier, ces outils ne tiennent pas compte du blocage des certificats par Apple ni de leur statut de révocation.

Apple indique qu’une prochaine mise à jour logicielle modifiera ce fichier, sans toutefois préciser de date de publication. Les administrateurs qui souhaitent agir plus tôt peuvent suivre les instructions d’Apple pour en créer une copie de sauvegarde et supprimer les certificats racines concernés.

La suppression de emSign ECC Root CA - G3 bloque une voie de confiance. L’avis d’Apple précise que les certificats à signature croisée de Sectigo peuvent toujours être acceptés via AAA Certificate Services ; les administrateurs peuvent donc aussi supprimer cette racine, s’ils le souhaitent. La suppression de certificats racines affecte tous les outils qui s’appuient sur le fichier et peut interrompre des connexions à des sites web légitimes utilisant d’autres certificats rattachés à ces racines.

Une prochaine mise à jour de macOS peut remplacer /etc/ssl/cert.pem. Les administrateurs qui appliquent cette mesure temporaire doivent donc vérifier le fichier après les mises à jour, jusqu’à la mise en place du correctif définitif d’Apple. Les applications qui disposent de leurs propres listes de certificats nécessitent une intervention distincte de leurs développeurs.

La plupart des possesseurs d’appareils Apple n’ont pas besoin de modifier leurs fichiers de certificats. Ils doivent avant tout installer les mises à jour de sécurité correspondant à leurs appareils. Les organisations devraient également vérifier leurs services de gestion à distance, leurs outils de développement et les applications qui disposent de leurs propres listes de certificats de confiance. Apple a remercié des outils d’IA et des équipes de recherche pour la découverte de plusieurs failles dans les mises à jour plus générales, ce qui montre que les tests de sécurité mettent au jour des problèmes dans de nombreux composants partagés à la fois.

À retenir

• Apple a publié 11 mises à jour de sécurité le 26 octobre 2026, couvrant ses principaux systèmes d’exploitation et Safari.
• iOS 18.7.11 et iPadOS 18.7.11 apportent un correctif pour une faille exploitée de CoreGraphics à l’iPhone XS, XS Max, XR et à l’iPad de 7e génération.
• Les mises à jour comptent 1 265 entrées de vulnérabilités, correspondant à au moins 329 failles distinctes dans des composants logiciels partagés.
• Les correctifs pour Mac concernent notamment des vulnérabilités d’accès à distance ; d’autres protègent les données sensibles et les autorisations liées à l’appareil photo.
• Apple bloque automatiquement les certificats web eMudhra compromis dans Safari, Mail et les applications utilisant ses frameworks de sécurité.
• Certains outils en ligne de commande sur Mac nécessitent une future mise à jour du fichier de certificats ou une mesure temporaire facultative de la part des administrateurs.