Apple publie une mise à jour de sécurité historique avec 194 correctifs et une reconnaissance inédite de l'IA

Le lundi 27 juillet 2026, Apple a publié iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, watchOS 26.6, tvOS 26.6 et visionOS 26.6, dans ce qui est considéré comme la plus importante mise à jour de sécurité de l'histoire de l'entreprise. Toutes plateformes confondues, Apple a corrigé 194 CVE uniques après avoir supprimé les doublons .

Apple précise qu'aucune de ces vulnérabilités n'a été activement exploitée dans la nature, mais les appareils non mis à jour pourraient désormais devenir des cibles, puisque les correctifs sont publics .

Nombre de correctifs par plateforme

Le volume de correctifs varie selon les systèmes d'exploitation d'Apple :

• macOS Tahoe 26.6 : entre 143 et 155 CVE uniques (le décompte officiel d'Apple et celui de tiers diffèrent légèrement) .
• iOS et iPadOS 26.6 : 78 correctifs de sécurité, liés à 87 numéros CVE uniques .
• watchOS 26.6 : 84 correctifs de sécurité .
• tvOS 26.6 : 84 correctifs de sécurité .
• visionOS 26.6 : 84 correctifs de sécurité .

Apple a également déployé macOS Sequoia 15.7.8 et macOS Sonoma 14.8.8 pour les Mac plus anciens qui ne fonctionnent pas sous macOS Tahoe, tous deux axés sur les mêmes correctifs de sécurité .

Vulnérabilités les plus graves corrigées

Plusieurs failles critiques se distinguent dans les avis de sécurité d'Apple :

• MediaRemote : une application pouvait obtenir les privilèges root via un problème d'analyse dans la gestion des chemins de répertoire .
• AVEVideoEncoder (CVE-2026-64747) : un débordement de mémoire tampon qui permettait à une application d'exécuter du code arbitraire avec les privilèges du noyau .
• Game Center et libc : des vulnérabilités d'évasion de sandbox — une application malveillante pouvait sortir de son sandbox .
• CloudAttestation (CVE-2026-43813) : une application malveillante pouvait contourner l'obligation de signature de code .
• ImageIO : exécution de code arbitraire lors du traitement d'une image malveillante .
• SceneKit : trois vulnérabilités pouvant mener à une exécution de code arbitraire lors du traitement de fichiers malveillants .
• Noyau : plus d'une douzaine de correctifs couvrant la corruption de mémoire du noyau, la divulgation d'informations et l'arrêt inattendu du système .
• WebKit : de multiples correctifs traitant de l'exposition de la mémoire des processus, de l'usurpation d'interface, des violations de sandbox iframe et des crashs de Safari .

Des outils d'IA crédités aux côtés des chercheurs humains

La tendance la plus frappante de cette mise à jour est la place prépondérante accordée aux outils d'IA dans les notes de sécurité d'Apple :

• Claude d'Anthropic et les chercheurs d'Anthropic sont crédités pour des correctifs dans WebKit, WebKit Storage et WebDAV, dont certains ont été réalisés en collaboration avec l'équipe de recherche Calif.io .
• OpenAI Codex Security est crédité pour avoir contribué à la découverte de vulnérabilités, poursuivant une tendance observée pour la première fois dans la mise à jour de sécurité iOS 26.5.2 .
• NVIDIA AI Red Team est créditée dans les notes de sécurité pour avoir trouvé des vulnérabilités .
• Le modèle GLM de Z.AI est également crédité aux côtés de chercheurs humains dans les remerciements .

Cela fait suite à la divulgation antérieure d'Apple selon laquelle elle avait accéléré son rythme de mises à jour de sécurité en réponse directe aux outils de piratage alimentés par l'IA. Le volume de correctifs de cette version — la plus grande mise à jour de sécurité unique de l'histoire d'Apple — est attribué en partie aux outils d'IA qui aident les chercheurs à trouver les vulnérabilités plus rapidement .

Statut d'exploitation active

Apple n'identifie aucune de ces vulnérabilités comme ayant été activement exploitée dans la nature . Cela correspond à l'approche annoncée par l'entreprise de publier des correctifs plus rapidement — en déplaçant même des correctifs initialement prévus pour la 26.6 vers la mise à jour antérieure 26.5.2 — en réponse à la vitesse accrue des attaquants assistés par l'IA .

Optimisation de Spotlight pour iOS 27

Au-delà de la sécurité, macOS Tahoe 26.6, iOS 26.6 et iPadOS 26.6 incluent un changement important sous le capot : une optimisation de l'index Spotlight spécifiquement pour préparer les prochaines versions 27 attendues cet automne . Apple a réarchitecturé l'index de recherche lors de la WWDC pour le rendre plus stable, plus complet et plus réactif, et cette mise à jour pré-optimise l'index pour garantir une expérience de mise à niveau plus fluide lors de l'arrivée d'iOS 27, macOS 27 et iPadOS 27 .

Comment mettre à jour

Toutes les mises à jour 26.6 d'Apple sont disponibles dès maintenant pour les utilisateurs. Les utilisateurs d'iPhone et d'iPad peuvent mettre à jour via Réglages > Général > Mise à jour logicielle, tandis que les utilisateurs de Mac peuvent utiliser Réglages Système > Mise à jour logicielle. Les mises à jour watchOS et tvOS sont disponibles via leurs applications compagnes respectives.

Compte tenu du nombre record de correctifs et de l'absence d'exploitation active pour le moment, les experts en sécurité recommandent de mettre à jour rapidement afin de fermer la fenêtre avant que les attaquants ne procèdent à l'ingénierie inverse des correctifs.