La police de caractères dans le PDF était l'attaque, et le code est maintenant public

Un PDF peut prendre le contrôle d'un iPhone. Pas un PDF contenant un lien douteux, ni un PDF qui vous demande d'installer quelque chose : le fichier lui-même, ouvert, suffit si une police de caractères qui y est intégrée a été construite de travers.

C'est CVE-2026-86950, une écriture hors limites dans CoreGraphics, la partie du logiciel d'Apple qui dessine les éléments à l'écran. Apple l'a corrigée le 28 septembre dans iOS et iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1, en créditant l'équipe sécurité produit de Meta pour la découverte. La formulation d'Apple était prudente : la faille a peut-être été exploitée lors d'une attaque extrêmement sophistiquée contre des personnes précisément ciblées utilisant iOS avant la version 27. C'est le vocabulaire qu'Apple réserve aux logiciels espions. La CISA l'a ajoutée fin septembre à sa liste des failles activement exploitées et a laissé aux agences fédérales américaines jusqu'au 2 octobre pour corriger.

Ce qui a changé le 30 septembre, c'est la publication d'un code de démonstration. Il fait planter les iPhone et les Mac non corrigés avec un glyphe malformé, autrement dit la moitié bruyante et inoffensive du même bug. Des chercheurs ont aussi remarqué un nouveau code d'analyse de polices dans les versions 26.37.73 et 26.38.74 de WhatsApp et se sont demandé à voix haute si la messagerie était le canal de livraison, avant de retirer cette hypothèse jugée spéculative. Aucune attaque allant au-delà du plantage n'a été démontrée.

Si vous avez un iPhone, un iPad ou un Mac, ouvrez les Réglages et laissez la mise à jour s'installer aujourd'hui plutôt que le week-end prochain. Les logiciels espions ciblés ne sont pas votre problème, mais un code de plantage publié a l'habitude de se transformer en quelque chose de pire dès que suffisamment de gens le triturent. Sur la machine Windows de la maison, la corvée équivalente consiste à garder à jour votre lecteur PDF et votre navigateur, et Tendvane peut mettre les deux à niveau via winget en une seule passe.