Toujours sur iOS 26 ? Mettez à jour votre iPhone, iPad et Mac sans attendre

Apple a corrigé une faille de sécurité dans iOS 26, iPadOS 26 et macOS. Selon l’entreprise, cette faille a peut-être déjà été utilisée par des pirates, dans le cadre d’une attaque extrêmement sophistiquée visant des personnes bien précises, sur les versions antérieures à iOS 27.

La vulnérabilité, référencée CVE-2026-86950, se trouve dans CoreGraphics, le moteur graphique qui gère l’affichage des images, de l’interface et des visuels sur iPhone, iPad et Mac. C’est l’équipe de sécurité produit de Meta qui l’a découverte.

Pourquoi c’est sérieux

Apple n’a pas donné beaucoup de détails. Mais le moteur graphique d’un appareil a généralement un accès très large au reste du système. Une attaque réussie pourrait donc permettre à un pirate de voler de nombreuses données personnelles sur l’appareil touché.

Plusieurs questions restent sans réponse. Ni Apple ni Meta n’ont expliqué comment la faille a été découverte, ni combien de personnes ont pu être piratées. On ne sait pas non plus qui l’exploite : des éditeurs de logiciels espions travaillant pour des gouvernements, ou des cybercriminels.

Une grande partie des iPhone concernés

La faille touche l’ancienne génération des systèmes d’Apple, mais celle-ci reste très utilisée. D’après les statistiques d’Apple, près de quatre propriétaires d’iPhone sur cinq sont encore sous iOS 26.

Les appareils sous iOS 27, iPadOS 27 et macOS 27, sortis en septembre, ont eux aussi reçu une mise à jour, mais ils ne sont pas touchés par cette faille.

Une autre faille « zéro clic » déjà corrigée

Ce correctif arrive peu de temps après celui d’une autre faille critique, CVE-2026-86869. Elle aurait pu permettre à des pirates de voler des données en silence sur un iPhone, un iPad ou un Mac.

La société belge de recherche en cybersécurité ironPeak a publié une analyse détaillée de cette faille. Il s’agit d’une vulnérabilité « zéro clic » : un simple iMessage piégé suffit à la déclencher, sans que l’utilisateur ne fasse rien et sans qu’il s’en rende compte. Ce type de faille, qui ne demande aucune action de la victime (comme cliquer sur un lien), est très recherché par les éditeurs de logiciels espions et de surveillance.

Selon ironPeak, la faille parvient à contourner BlastDoor, une protection mise en place par Apple pour empêcher du code malveillant, comme un logiciel espion, de sortir de l’environnement isolé d’iMessage et de prendre le contrôle de l’appareil.

Apple l’a corrigée en septembre avec iOS 27, iPadOS 27 et macOS 27. La découverte est attribuée à Niels Hofmans d’ironPeak, avec des chercheurs en sécurité de Meta qui ont confirmé ses résultats.

Ce que vous devez faire

• Sur iOS 26 / iPadOS 26 : installez au minimum la version 26.7.1 (Réglages > Général > Mise à jour logicielle).
• Sur Mac : installez macOS Tahoe 26.7.1 ou macOS Sequoia 15.8.1.
• Si possible, passez à iOS 27 / macOS 27 : c’est la seule façon d’être protégé contre les deux failles.
• Activez les mises à jour automatiques.
• Pour les personnes à risque (journalistes, avocats, dirigeants, militants), pensez au mode Isolement (Lockdown Mode).

Notre avis

Deux failles graves en quelques semaines, dont une déjà exploitée : le message est clair. Repousser une mise à jour, c’est laisser la porte ouverte. Et pour les entreprises, le vrai risque vient souvent des appareils oubliés, jamais mis à jour, qui continuent de circuler avec des données sensibles.