Description
Résumé
| Identifiant | CVE-2026-86869 |
| Éditeur | Apple |
| Composant | ImageIO / décodeur EXR d’Apple (libAppleEXR) |
| Type | Dépassement de tampon sur le tas (heap overflow) |
| Vecteur | Pièce jointe iMessage, aucune interaction requise (zéro clic) |
| Impact | Exécution de code (qualifiée par Apple de « 0-click code execution via iMessage ») |
| Contournement | BlastDoor |
| Score CVSS | Non publié à ce jour |
| Découverte | Niels Hofmans (ironPeak), confirmée par des chercheurs de Meta |
| Correctif publié | Septembre 2026 (iOS 27, iPadOS 27, macOS 27) |
Description
La faille se trouve dans le décodeur d’images EXR d’Apple. EXR est un format d’image haute dynamique utilisé dans les effets visuels, peu connu du grand public mais pris en charge par ImageIO, le moteur qui décode presque toutes les images sur les appareils Apple.
Le problème vient d’une incohérence simple : le décodeur réserve de la mémoire pour une image à 3 canaux (rouge, vert, bleu, soit 12 octets par pixel), mais la fonction qui remplit cette mémoire écrit 4 canaux (en ajoutant un canal alpha, soit 16 octets par pixel). Chaque pixel déborde donc de 4 octets. Sur une image de 448 × 448 pixels, cela représente environ 800 Ko écrits au-delà de la zone prévue.
Point aggravant : sur ces 16 octets, 12 proviennent directement des pixels du fichier. L’attaquant contrôle donc les trois quarts des données écrites.
Pourquoi c’est une faille « zéro clic »
Lorsqu’un iMessage avec une pièce jointe arrive, le système la traite automatiquement : il l’enregistre, l’indexe pour la recherche, puis la photothèque génère des miniatures en arrière-plan. C’est lors de cette génération de miniatures que le décodeur vulnérable est appelé, dans un service système privilégié.
La victime n’a rien à ouvrir, rien à toucher. La faille se déclenche dès la réception du message.
Contournement de BlastDoor
BlastDoor est le bac à sable créé par Apple pour analyser le contenu des iMessage à l’écart du reste du système. La faille l’évite pour deux raisons :
- le format EXR ne fait pas partie des types de fichiers traités par BlastDoor ;
- le décodage dangereux n’a pas lieu pendant l’analyse du message, mais plus tard, dans un autre service, au moment de l’indexation et de la création des miniatures.
Gravité réelle
Le chercheur a démontré une écriture mémoire arbitraire et une prise de contrôle de l’exécution dans un environnement de test. Sur un appareil réel, la dernière étape est freinée par Pointer Authentication (PAC), qui nécessiterait une fuite d’information supplémentaire.
Le marquage mémoire matériel des puces les plus récentes bloque l’attaque dans le service concerné. Mais il n’est pas actif partout, et les appareils plus anciens n’en disposent pas. Une grande partie du parc reste donc exposée tant qu’elle n’est pas mise à jour.
Produits concernés
Le même code est utilisé sur iOS, iPadOS et macOS. Toutes les versions antérieures à iOS 27, iPadOS 27 et macOS 27 sont concernées.
Versions corrigées
- iOS 27 et iPadOS 27
- macOS 27
Chronologie
- Mai 2026 : découverte par fuzzing guidé par IA, démonstration sur un iPad réel, signalement à Apple.
- Mai–juin 2026 : compléments transmis à Apple (écriture arbitraire, contrôle de l’exécution).
- Septembre 2026 : correctif publié dans iOS, iPadOS et macOS 27.
- 26 septembre 2026 : publication de l’analyse détaillée par ironPeak.
Recommandations
- Passer à iOS 27 / iPadOS 27 / macOS 27. Les mises à jour de la branche 26 ne suffisent pas pour cette faille.
- En entreprise : identifier via le MDM les appareils encore sous la version 26 et planifier leur migration.
- Pour les profils à risque : activer le mode Isolement (Lockdown Mode).
- Surveiller les plantages répétés des services de photos ou d’images en arrière-plan : ils peuvent signaler une tentative d’exploitation.