Un PDF piégé fait planter des appareils Apple — mais le PoC ne démontre pas leur prise de contrôle

Un code de démonstration public pour la faille CVE-2026-86950 de CoreGraphics montre qu’un PDF contenant une police intégrée spécialement conçue peut provoquer une corruption mémoire et faire planter un iPhone ou un Mac non mis à jour. Il ne démontre pas qu’un attaquant puisse exécuter du code ou prendre le contrôle de l’appareil. Apple indique que la faille pourrait permettre l’exécution de code arbitraire et dit avoir connaissance d’un signalement d’exploitation possible dans des attaques très ciblées ; plusieurs détails restent toutefois non confirmés. 234

Ce que démontre le PoC

La démonstration utilise un PDF contenant une police piégée pour déclencher une écriture hors limites dans CoreGraphics, le composant d’Apple qui traite notamment des éléments graphiques et du texte. Le résultat rapporté est un plantage lorsque l’appareil non corrigé traite le fichier. Cela montre qu’un dysfonctionnement est reproductible, mais pas qu’un attaquant peut contrôler l’appareil ni qu’une attaque complète fonctionne. 346

Dans son avis de sécurité, Apple précise que le traitement d’un fichier malveillant spécialement conçu peut entraîner l’exécution de code arbitraire. Il s’agit de l’impact potentiel de la vulnérabilité, et non de la preuve que le PoC public permet effectivement d’exécuter du code. 2

Des attaques ciblées encore mal documentées

Apple dit avoir connaissance d’un signalement selon lequel la faille aurait pu être exploitée dans une attaque « extrêmement sophistiquée » visant certaines personnes, sur des versions d’iOS antérieures à iOS 27. Cette formulation ne confirme pas les attaques rapportées, ne nomme pas de victimes et ne décrit pas la manière dont la vulnérabilité aurait été utilisée. Le PoC public ne reproduit pas ces attaques et n’en révèle pas le mode opératoire. 24

La mention de Meta Product Security comme équipe ayant découvert la faille ne prouve pas que WhatsApp ait été impliqué. Des articles évoquent les contrôles de PDF de WhatsApp comme une piste possible sur la méthode de diffusion, mais les informations disponibles ne confirment ni que WhatsApp ait transmis l’exploit, ni que l’application soit liée aux attaques ciblées signalées. 45

Mises à jour Apple et échéance fédérale incertaine

Les mises à jour publiées par Apple le 28 septembre 2026 corrigent le problème dans iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 et macOS Tahoe 26.7.1. Les avis d’Apple identifient la faille dans CoreGraphics et précisent que le traitement d’un fichier malveillant spécialement conçu peut entraîner l’exécution de code arbitraire. 2

L’échéance fédérale est moins claire d’après les articles disponibles. L’un avance le 2 octobre 2026 comme date limite pour que les agences fédérales corrigent la faille. Un autre indique que l’avis de la CISA ne précisait aucune date limite de correction. Les éléments disponibles ne permettent pas de trancher : le 2 octobre doit donc être présenté comme une échéance rapportée, et non comme une date confirmée par la fiche CISA propre à cette CVE. 1011

Pour les utilisateurs comme pour les administrateurs, la mesure concrète ne prête pas à confusion : installer la mise à jour de sécurité Apple correspondant à son appareil, sans attendre qu’une échéance incertaine soit clarifiée.