Apple vient de corriger sur les anciens iPhone et iPad une faille iPhone exploitée dans des attaques ciblées : la CVE-2026-86950, dans le composant d’affichage CoreGraphics. Si votre flotte compte des iPhone XS, XS Max ou XR, ou des iPad restés sous iOS 18, il faut installer iOS 18.7.11 dès maintenant ; les autres appareils doivent passer en iOS 27.2 ou 26.7.2.
La faille avait déjà été corrigée fin septembre pour les versions récentes d’iOS et de macOS. Ce qui change cette semaine, c’est que les appareils qui ne peuvent pas monter en iOS 26 ou 27 disposent enfin du correctif. Ce sont souvent ceux qu’une PME oublie : téléphones de terrain, iPad d’atelier ou de salle de réunion, anciens appareils passés d’un collaborateur à l’autre.
Ce que permet la faille CoreGraphics CVE-2026-86950
CoreGraphics est la brique qui dessine le texte, les images et les graphiques vectoriels sur iOS, iPadOS, macOS, watchOS et tvOS. La vulnérabilité, découverte par l’équipe de sécurité produit de Meta, est une écriture hors limites en mémoire (fiche NVD). Ce type de bug peut faire planter une application, corrompre des données ou, dans le pire des cas, permettre l’exécution de code à distance, par exemple à l’ouverture d’une image ou d’un document piégé.
Apple indique avoir connaissance d’un rapport selon lequel la faille a pu être exploitée dans une attaque « extrêmement sophistiquée » contre des personnes ciblées, sur les versions antérieures à iOS 27. Aucun détail public n’existe à ce jour sur ces attaques.
Faut-il s’inquiéter pour une PME ?
Les attaques de ce niveau visent d’abord des profils précis : dirigeants, élus, journalistes, personnes ayant accès à des informations sensibles. Une PME n’est pas la cible naturelle d’un exploit de ce prix. Mais deux raisons justifient d’agir sans attendre. D’abord, le smartphone du dirigeant ou du directeur financier porte la messagerie, l’authentification MFA et l’accès aux comptes bancaires : c’est précisément le profil visé. Ensuite, une fois le correctif publié, la faille est documentée et d’autres acteurs peuvent chercher à la réutiliser contre des appareils restés en retard.
Quels iPhone et iPad sont concernés
Le correctif publié lundi dans iOS et iPadOS 18.7.11 couvre notamment :
- les iPhone XS, iPhone XS Max et iPhone XR ;
- l’iPad 7e génération ;
- l’iPad Air 4e génération et ultérieurs, l’iPad 9e génération et ultérieurs, l’iPad mini 6e génération et ultérieurs, lorsqu’ils sont restés sous iOS 18.
Pour les appareils récents, la faille avait été corrigée en septembre dans iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1. Selon SecurityWeek, iOS et macOS 27 ne semblent pas affectés.
Une mise à jour à ne pas réduire à cette seule faille
La même vague de correctifs est massive. iOS et iPadOS 27.2 corrigent 163 vulnérabilités, macOS Golden Gate 27.2 en corrige 263, et la branche 26 reçoit aussi sa mise à jour : iOS 26.7.2 (134 failles) et macOS Tahoe 26.7.2 (213 failles), d’après la page des mises à jour de sécurité d’Apple. On y trouve de nombreuses corruptions mémoire dans WebKit, le noyau et les composants qui ouvrent images, polices, PDF et fichiers audio ou vidéo. Autrement dit : quel que soit le modèle, l’appareil qui n’est pas à jour cette semaine est exposé à bien plus qu’une seule faille.
Que faire maintenant
- Vérifiez la version de chaque iPhone et iPad (Réglages > Général > Informations) en commençant par les appareils de la direction, de la comptabilité et des administrateurs informatiques.
- Installez iOS 18.7.11 sur les modèles bloqués en iOS 18, et iOS 27.2 ou 26.7.2 sur tous les autres appareils ; profitez-en pour mettre à jour les Mac en macOS 27.2, Tahoe 26.7.2 ou Sequoia 15.8.2.
- Imposez une version minimale d’iOS dans votre outil de gestion des appareils (Intune, Jamf, Apple Business Essentials…) avec une date butoir, et bloquez l’accès à la messagerie professionnelle des appareils qui ne la respectent pas.
- Planifiez le remplacement des iPhone XS et XR : ils restent sur une branche d’iOS qui ne recevra des correctifs que tant qu’Apple le décidera.
Une flotte mobile non suivie est un angle mort classique : un appareil resté en retard de mise à jour se repère et se traite avec une surveillance continue. Découvrez notre SOC managé 24/7 pour PME et ETI.
Pour organiser vos mises à jour dans la durée, notre article sur la priorisation des correctifs face à l’inflation des CVE donne une méthode simple. Apple avait déjà corrigé en début d’année un autre zero-day exploité dans des attaques ciblées.
Ce qu’il faut retenir
- La faille CoreGraphics CVE-2026-86950 a été exploitée dans des attaques ciblées sur iPhone.
- Les iPhone XS, XS Max, XR et certains iPad sous iOS 18 sont enfin corrigés avec iOS 18.7.11.
- Les appareils récents doivent passer en iOS 27.2 ou 26.7.2, qui corrigent plus d’une centaine d’autres failles.
- Les téléphones de la direction et des administrateurs sont à mettre à jour en premier.
- Une version minimale imposée par l’outil de gestion des appareils évite les oublis.