Apple étend aux anciens iPhone le correctif d’une zero-day CoreGraphics exploitée

Le 26 octobre 2026, Apple a publié une nouvelle vague de mises à jour de sécurité couvrant iOS, iPadOS, macOS, tvOS, watchOS, visionOS et Safari. Le SANS Internet Storm Center recense 304 vulnérabilités corrigées sur l’ensemble de ces versions. Le point le plus important concerne les appareils anciens : iOS 18.7.11 étend aux iPhone XS, XS Max et XR le correctif de CVE-2026-86950, une faille CoreGraphics qu’Apple dit avoir pu être exploitée dans une attaque « extrêmement sophistiquée » contre des personnes ciblées. Pour les flottes mobiles qui conservent ces modèles, c’était la dernière porte encore ouverte.

Ce qui s’est passé

Fin septembre 2026, Apple corrigeait CVE-2026-86950 dans ses branches récentes, en indiquant avoir connaissance d’un rapport selon lequel la faille « a pu être exploitée dans une attaque extrêmement sophistiquée contre des personnes spécifiquement ciblées » sur des versions d’iOS antérieures à iOS 27. La CISA l’a ajoutée à son catalogue des vulnérabilités exploitées (KEV) le 29 septembre 2026, selon plusieurs sources. La faille a été signalée par Meta Product Security.

Restait un angle mort : les appareils bloqués sur iOS 18. Le 26 octobre, en même temps qu’iOS 27.2, Apple a publié iOS 18.7.11 et iPadOS 18.7.11, qui ne contiennent que trois correctifs, dont celui de CoreGraphics.

Calendrier du correctif

Analyse technique

CoreGraphics est le moteur de rendu 2D d’Apple, utilisé pour afficher images, PDF et éléments graphiques dans tout le système. Apple décrit CVE-2026-86950 comme une écriture hors limites (out-of-bounds write) corrigée par un meilleur contrôle des bornes. Son impact : le traitement d’un fichier conçu de manière malveillante peut conduire à l’exécution de code arbitraire.

Ce type de faille est recherché par les acteurs qui ciblent des individus précis : il suffit que l’appareil traite un fichier reçu. Apple n’a toutefois pas précisé quel type de fichier déclenche la faille, comment il a été livré aux cibles, ni le nombre de personnes visées. iOS 27, iPadOS 27 et macOS Golden Gate 27 ne semblent pas concernés.

Le contenu d’iOS 18.7.11

Le reste de la vague du 26 octobre

Les autres versions publiées le même jour sont iOS et iPadOS 27.2 et 26.7.2, macOS Golden Gate 27.2, Tahoe 26.7.2 et Sequoia 15.8.2, tvOS, watchOS et visionOS 27.2, tvOS 26.6.1 et Safari 27.2. Le SANS ISC y relève plusieurs failles WebKit permettant l’exécution de code via un contenu web piégé, une évasion du bac à sable Web Content, et des failles noyau, dont CVE-2026-112438 qui permet à un attaquant non privilégié d’exécuter du code en tant que root. Aucune n’est signalée comme exploitée.

Pourquoi c’est important

De nombreuses organisations conservent des appareils anciens : terminaux partagés, téléphones de terrain, iPad de comptoir ou de salle de réunion. Tant qu’iOS 18.7.11 n’était pas disponible, ces appareils restaient exposés à une faille déjà exploitée contre des cibles de valeur. Les dirigeants, équipes juridiques, financières ou de direction de la communication font précisément partie des profils ciblés par ce type d’opération.

Le correctif est désormais disponible pour tout le parc compatible. Le risque restant tient à la vitesse de déploiement, et aux appareils trop anciens pour recevoir iOS 18, qui ne sont plus corrigés du tout.

Recommandations

1. ImmédiatDéployer iOS et iPadOS 18.7.11 sur les appareils anciens

   iPhone XS, XS Max, XR, iPad 7e génération et autres modèles restés sur iOS 18 : imposez la mise à jour via votre MDM avec une échéance courte.

2. ImmédiatVérifier le reste du parc

   Appareils iOS 26 : au minimum 26.7.1, idéalement 26.7.2 ou 27.2. Mac : Tahoe 26.7.1 ou Sequoia 15.8.1 au minimum, les versions du 26 octobre de préférence.

3. Court termeBloquer l’accès des appareils non conformes

   Utilisez les politiques de conformité MDM et d’accès conditionnel pour refuser l’accès à la messagerie et aux applications d’entreprise aux versions d’OS non corrigées.

4. Court termeProtéger les profils à risque

   Pour les dirigeants et fonctions exposées, envisagez le mode Isolement (Lockdown Mode) d’Apple et sensibilisez à la prudence face aux fichiers reçus de sources inattendues.

5. Moyen termePlanifier la sortie des appareils en fin de support

   Recensez les modèles qui ne reçoivent plus de mises à jour de sécurité et organisez leur remplacement ; intégrez le critère de support logiciel à vos achats.