L'iPhone XR vient de recevoir un correctif qu'Apple avait publié il y a un mois
CVE-2026-86950 a été corrigée sur les iPhone récents fin septembre, dans iOS 26.7.1. La formulation d'Apple n'a pas varié depuis : l'entreprise "a connaissance d'un signalement indiquant que ce problème a peut-être été exploité dans une attaque extrêmement sophistiquée visant des personnes précises, sur des versions d'iOS antérieures à iOS 27". La CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 29 septembre. Le 26 octobre, le correctif a enfin atteint les téléphones auxquels Apple ne donne plus de nouvelles versions d'iOS.
Il s'agit d'iOS 18.7.11 et d'iPadOS 18.7.11, pour l'iPhone XS, le XS Max et le XR, l'iPad de septième génération et plusieurs iPad plus anciens. La faille est une écriture hors limites dans CoreGraphics, la partie du système qui dessine à l'écran, signalée par Meta Product Security, et il suffit d'ouvrir un fichier piégé pour exécuter du code. "Attaque extrêmement sophistiquée visant des personnes précises" est la formule maison d'Apple pour désigner les logiciels espions commerciaux, donc le risque réel pour quiconque lit ces lignes n'a jamais été élevé.
Les deux autres correctifs de cette mise à jour sont plus proches du quotidien. L'un concerne CoreMedia, où "une application malveillante peut accéder à la caméra sans l'autorisation de l'utilisateur", et l'autre le composant Audio. Ni l'un ni l'autre n'a été utilisé contre qui que ce soit à notre connaissance. Tous deux sont du genre à réapparaître un an plus tard dans un kit de logiciels malveillants grand public.
Le même jour sont arrivés iOS et iPadOS 27.2 avec 163 correctifs et macOS Golden Gate 27.2 avec 263, soit 286 bugs distincts au total selon le décompte de SecurityWeek. L'habitude à retenir : vérifier l'ancien appareil rangé dans un tiroir, celui qui sert pour la musique ou qu'on a confié à un enfant, parce que rien ne vous relance au sujet d'un téléphone que vous ouvrez rarement. Sur un PC Windows, le même décalage se niche dans les applications installées plutôt que dans le système, et c'est exactement ce que gère le gestionnaire de mises à jour de Tendvane basé sur winget : il liste ce qui a pris du retard et remet tout à niveau en une seule passe.