Une vague de mises à jour disponible depuis le 27 juillet
Apple a publié iOS 26.6, iPadOS 26.6 et macOS Tahoe 26.6 le 27 juillet 2026. La disponibilité réelle a précédé le détail complet des failles : le déploiement d’iOS a été constaté vers 10 h 26 en Californie, soit 19 h 26 en Belgique et en France, puis Apple a mis en ligne ses fiches de sécurité. Il faut donc distinguer la sortie du logiciel, la publication des avis techniques et leur analyse indépendante.
Les mises à jour sont disponibles sans achat séparé dans Réglages, Général, Mise à jour logicielle sur iPhone et iPad, et dans Réglages Système, Général, Mise à jour de logiciels sur Mac. Le périmètre mobile commence à l’iPhone 11. Côté tablettes, Apple cite les iPad Pro 12,9 pouces de troisième génération ou plus récents, tous les iPad Pro 11 pouces, les iPad Air de troisième génération ou plus récents, les iPad de huitième génération ou plus récents et les iPad mini de cinquième génération ou plus récents.
Apple a parallèlement livré macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, Safari 26.6, watchOS 26.6, tvOS 26.6 et visionOS 26.6. La firme rappelle qu’après installation, iOS et iPadOS ne peuvent pas être rétrogradés vers la version précédente. Sur une machine de production, une sauvegarde vérifiée avant mise à jour reste donc une précaution plus utile qu’une promesse de retour arrière non prise en charge.
iPhone et iPad : 87 CVE uniques et des impacts élevés
La fiche iOS et iPadOS contient 78 entrées correspondant à 87 identifiants CVE uniques, selon le décompte indépendant de 9to5Mac. La différence vient du fait qu’une même entrée peut regrouper plusieurs CVE. Ce volume ne signifie pas que 87 attaques identiques sont immédiatement exploitables, mais plusieurs impacts justifient une mise à jour rapide sur les appareils compatibles.
CVE-2026-43723, dans MediaRemote, pouvait permettre à une application d’obtenir les privilèges root. CVE-2026-64747 touche AVEVideoEncoder et pouvait mener à l’exécution de code arbitraire avec les privilèges du noyau. Game Center et libc comportaient chacun une possibilité de sortie de sandbox. CloudAttestation corrige un contournement de l’application de la signature de code, tandis qu’ImageIO et plusieurs problèmes SceneKit pouvaient provoquer une exécution de code lors du traitement de contenus conçus à cette fin.
Le navigateur et les communications ne sont pas épargnés. Apple documente plusieurs corrections WebKit concernant la divulgation de mémoire, l’usurpation d’interface, les règles de sandbox des iframe et des plantages de Safari. Une faille Wi-Fi permettait à un attaquant physiquement proche de corrompre la mémoire d’un processus. Plus d’une douzaine d’entrées liées au noyau couvrent notamment corruption ou divulgation de mémoire, contournement de filtres réseau et arrêts inattendus du système.
macOS Tahoe 26.6 étend les correctifs au Mac
Pour macOS Tahoe 26.6, 9to5Mac recense 155 CVE uniques dans l’avis Apple. La version distribuée porte le numéro de build 25G72, différent de la Release Candidate 25G70. Le nombre est supérieur à celui d’iOS parce que macOS inclut davantage de composants système et de briques open source ; il ne démontre pas à lui seul que le Mac était plus exposé ou moins sûr qu’un iPhone.
Les scénarios corrigés sont néanmoins sérieux. Deux failles de CUPS pouvaient donner les privilèges root à une application malveillante. DesktopServices corrige CVE-2026-64708, un contournement de Gatekeeper fondé sur la quarantaine des fichiers. Apple mentionne aussi des sorties de sandbox, des accès à des données protégées, des corruptions de mémoire noyau et des problèmes dans les images disque, les pilotes GPU, APFS ou des bibliothèques réseau.
Plusieurs vulnérabilités sont communes avec iOS, ce qui interdit d’additionner simplement les deux totaux. Les Mac qui restent sous Sequoia ou Sonoma reçoivent respectivement les versions 15.7.8 et 14.8.8, avec Safari 26.6. En intégrant les plateformes actuelles puis en supprimant les doublons, 9to5Mac arrive à 194 CVE uniques pour cette vague Apple. Ce total global ne correspond pas à 194 failles présentes sur chaque appareil.
Ce que les correctifs prouvent, et leurs limites
Apple n’indique pas qu’une des vulnérabilités d’iOS 26.6 a été activement exploitée dans la nature. Il ne faut donc pas présenter cette version comme la réponse à une attaque zero-day en cours. L’absence d’exploitation déclarée n’équivaut toutefois pas à une absence de risque : certaines failles offrent des privilèges élevés ou une exécution de code si les conditions nécessaires sont réunies.
Les avis Apple décrivent les impacts et les composants, mais ne fournissent pas de score CVSS uniforme, de taux d’exploitation réel ni de mesure du risque pour chaque profil. Plusieurs scénarios réclament une application malveillante déjà installée, un fichier spécialement conçu, un site hostile, la proximité Wi-Fi ou un accès physique. Les nombres 87, 155 et 194 ne doivent donc pas être transformés en probabilités d’attaque ni comparés comme un benchmark de sécurité.
Ces versions comprennent également des corrections de bugs et, sur iOS et iPadOS, une optimisation de l’index Spotlight en préparation d’iOS 27. Apple ne publie cependant aucun benchmark permettant de promettre un gain de performances, d’autonomie ou de fluidité. La conclusion vérifiable reste plus sobre : les appareils compatibles disposent désormais de correctifs pour des failles touchant le noyau, les sandbox, le navigateur, les médias et les contrôles de confiance.
Commentaires
Chargement…
Préparation de votre espace lecteur…
Chargement des commentaires…