Apple corrige sur les anciens iPhone XS et XR une faille qui aurait servi à des attaques ciblées

Le 26 octobre, Apple a publié iOS 18.7.11 et iPadOS 18.7.11, des mises à jour destinées aux appareils qui ne peuvent pas dépasser iOS 18. Elles corrigent la faille CVE-2026-86950. Apple dit avoir reçu un signalement selon lequel cette faille pourrait avoir été exploitée dans une attaque « extrêmement sophistiquée » contre des personnes ciblées, qui utilisaient des versions d'iOS antérieures à iOS 27.

La faille se trouve dans CoreGraphics, le composant qui dessine les textes, les images et les graphiques à l'écran. Il s'agit d'une écriture en dehors de la zone de mémoire prévue. Selon Apple, le traitement d'un fichier piégé pourrait permettre d'exécuter du code sur l'appareil. Elle a été découverte par l'équipe chargée de la sécurité des produits de Meta.

Un correctif disponible depuis septembre, mais pas pour tout le monde

Selon BleepingComputer, Apple avait déjà corrigé cette faille en septembre dans iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1. Les appareils qui ne peuvent pas dépasser iOS 18 restaient donc exposés. C'est le cas des iPhone XS, XS Max et XR, qu'iOS 26 ne prend plus en charge.

Côté tablettes, la mise à jour ne vise que l'iPad de 7^e génération, qu'iPadOS 26 ne prend plus en charge : les iPad plus récents ont reçu ce correctif en septembre, avec iPadOS 26.7.1.

Elle corrige deux autres failles, sans signalement d'exploitation. L'une, dans le composant audio, pourrait permettre à une application de divulguer des informations sensibles. L'autre, dans CoreMedia, pourrait permettre à une application malveillante d'accéder à la caméra sans autorisation.

Faut-il s'inquiéter ?

Apple parle d'une attaque contre des personnes ciblées. Ce type d'opération vise en général quelques profils précis, pas le grand public. Ces profils existent aussi en France, comme l'a montré l'affaire du logiciel espion qui a visé l'iPhone de l'ancienne ministre Agnès Pannier-Runacher. Et une fois un correctif publié, d'autres attaquants peuvent l'étudier pour retrouver la faille et l'exploiter.

Comment installer la mise à jour

• Ouvrez Réglages, puis Général et Mise à jour logicielle, et installez iOS 18.7.11 ou iPadOS 18.7.11.
• Si votre iPhone ou votre iPad accepte une version plus récente du système, installer la dernière version disponible corrige aussi cette faille.
• En entreprise, repérez dans votre outil de gestion des appareils mobiles ceux qui tournent encore sous iOS 18 : il s'agit souvent d'anciens téléphones professionnels qu'on oublie facilement.

Reste une question pour les propriétaires d'iPhone XS et XR, sortis en 2018 : combien de temps Apple continuera-t-il à corriger leurs failles ?