CVE-2026-86950 : mettez à jour votre iPhone, iPad ou Mac

La faille CVE-2026-86950 touche CoreGraphics, un composant d’Apple impliqué dans le traitement des éléments graphiques. Sur un appareil vulnérable, le traitement d’un fichier spécialement conçu pourrait entraîner l’exécution de code arbitraire. Apple indique avoir connaissance d’un signalement selon lequel la faille aurait été utilisée dans une attaque extrêmement sophistiquée contre des personnes ciblées. Cela ne veut pas dire que tous les appareils concernés ont été visés. 1239

Quelles versions et quels appareils sont concernés ?

Les versions concernées sont iOS et iPadOS antérieures à 26.7.1, macOS Sequoia antérieures à 15.8.1 et macOS Tahoe antérieures à 26.7.1. Apple indique que les correctifs sont inclus dans iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 et macOS Tahoe 26.7.1. Ces mises à jour de sécurité ont été publiées le 28 septembre 2026. 123

Pour iOS et iPadOS, Apple répertorie les familles d’appareils suivantes : iPhone 11 et modèles ultérieurs ; iPad Pro 12,9 pouces (3e génération et ultérieures) ; iPad Pro 11 pouces (1re génération et ultérieures) ; iPad Air (3e génération et ultérieures) ; iPad (8e génération et ultérieures) ; et iPad mini (5e génération et ultérieures). 1

Pour les Mac, les avis d’Apple précisent les versions de macOS concernées, sans fournir de liste de modèles. Vérifiez la version installée et appliquez la mise à jour proposée pour votre appareil. 23

Apple précise que le signalement d’exploitation concerne des versions d’iOS antérieures à iOS 27. Il s’agit des versions mentionnées dans ce signalement, pas d’une preuve que chaque appareil plus ancien a été ciblé. 19

Comment un fichier malveillant pourrait-il exploiter la faille ?

Le déclencheur décrit par Apple est le traitement d’un fichier spécialement conçu à des fins malveillantes. Cela pourrait permettre à un attaquant de faire exécuter du code sur l’appareil vulnérable. Les avis disponibles ne précisent ni le format du fichier ni la manière dont il serait transmis ou traité. Affirmer qu’un type précis d’image ou de document est en cause irait donc au-delà des informations publiées. 1239

Ce que disent les organismes de cybersécurité

La base nationale américaine des vulnérabilités (NVD), tenue par le NIST, reprend la description d’Apple, les versions concernées et le signalement d’une possible exploitation dans des attaques très sophistiquées contre des personnes ciblées. Un article spécialisé rapporte également que l’agence américaine CISA a ajouté la faille à son catalogue des vulnérabilités exploitées. Les résultats CISA fournis ici ne comprennent toutefois pas de fiche individuelle permettant de vérifier cette information : il faut donc la considérer comme rapportée, et non confirmée de façon indépendante dans les éléments disponibles. 919

Des médias indiens rapportent que CERT-In, l’équipe nationale d’intervention en cas d’incident informatique en Inde, a émis une alerte de gravité élevée et recommandé d’installer les mises à jour rapidement. L’avis original de CERT-In n’étant pas fourni ici, il n’est pas possible d’en vérifier directement le détail et les recommandations. 1213

Installer la mise à jour

Installez la dernière mise à jour proposée pour chaque appareil. Sur iPhone ou iPad, allez dans Réglages → Général → Mise à jour logicielle. Sur Mac, ouvrez Réglages Système → Général → Mise à jour de logiciels. Apple tient également à jour une liste de ses versions et avis de sécurité. 1234

En attendant l’installation du correctif, évitez de traiter des fichiers inattendus, surtout s’ils proviennent d’expéditeurs inconnus. C’est une précaution temporaire, pas un substitut à la mise à jour ; rien dans les avis cités ne désigne un format de fichier particulier comme responsable. 19

iOS 27.0.1 corrige d’autres problèmes

Les correctifs d’iOS 27.0.1 sont distincts de la faille CVE-2026-86950. Apple indique que la mise à jour corrige des redémarrages inopinés de l’iPhone 18 Pro et de l’iPhone 18 Pro Max lorsque Face ID échoue à authentifier l’utilisateur, un artefact de couleur pouvant apparaître sur certaines photos prises en 2× sur un petit nombre de ces modèles, ainsi qu’un écran tactile susceptible de ne plus répondre lorsque le Centre de notifications et le Centre de contrôle sont ouverts simultanément.