Apple vient de publier en urgence iOS 26.7.1 et iPadOS 26.7.1. Ces mises à jour, disponibles depuis lundi 28 septembre, bouchent une faille de sécurité qui aurait déjà été utilisée par des attaquants avant même l’existence d’un correctif. C’est ce que l’on appelle une vulnérabilité « zero-day », et il s’agit de la septième corrigée par Apple depuis le début de l’année.
Un simple fichier piégé suffit
Référencée CVE-2026-86950, la vulnérabilité se niche dans CoreGraphics, le composant chargé du traitement graphique dans les systèmes d’Apple. Il s’agit d’une écriture hors limites : en ouvrant un fichier spécialement conçu, l’appareil peut écrire des données en dehors de la zone mémoire prévue, ce qui permet à un attaquant d’exécuter le code de son choix. Apple indique avoir résolu le problème en renforçant les contrôles de limites.
Selon le bulletin de sécurité du constructeur, la faille « pourrait avoir été exploitée dans une attaque extrêmement sophistiquée contre des individus spécifiquement ciblés », sur des versions d’iOS antérieures à iOS 27. La découverte revient à l’équipe de sécurité produit de Meta, qui l’a signalée à Apple.
Comme souvent dans ce genre de cas, Apple reste très discret : l’entreprise ne précise ni l’identité des victimes, ni leur nombre, ni les auteurs des attaques, ni la manière exacte dont la faille a été exploitée. La formulation employée laisse toutefois penser à une opération ciblée, du type de celles menées avec des logiciels espions contre des journalistes, des militants ou des responsables politiques, plutôt qu’à une campagne visant le grand public.
Quels appareils mettre à jour ?
Le correctif concerne l’iPhone 11 et tous les modèles plus récents, ainsi que de nombreux iPad : iPad Pro 12,9 pouces à partir de la troisième génération, iPad Pro 11 pouces dès la première génération, iPad Air à partir de la troisième génération, iPad à partir de la huitième génération et iPad mini à partir de la cinquième génération.
Pour les utilisateurs français comme pour les autres, le risque d’être personnellement visé reste faible, mais la mise à jour ne coûte que quelques minutes. Il suffit de passer par Réglages, puis Général et Mise à jour logicielle. Ceux qui sont déjà passés à iOS 27 ne sont, d’après Apple, pas concernés par les attaques signalées. Attendre de savoir à quoi ressemble concrètement une attaque « extrêmement sophistiquée » n’est, en revanche, pas une stratégie recommandable.
À lire aussi : Apple corrige une faille de sécurité grave permettant l’espionnage dans les écouteurs Beats Studio Buds · Microsoft corrige une faille zero-day révélée par un chercheur en sécurité rival
