Apple déploie les correctifs CoreGraphics sur les anciens iPhone, une faille zero-day activement exploitée

Apple a publié lundi une série de mises à jour de sécurité rétroportées pour corriger une vulnérabilité zero-day dans CoreGraphics, le framework graphique au cœur d’iOS, macOS, iPadOS, watchOS et tvOS. La faille, référencée CVE-2026-86950 et notée 8,8 sur l’échelle CVSS, fait l’objet d’une exploitation ciblée depuis plusieurs semaines contre des individus spécifiques, selon les propres termes du constructeur.

L’origine de la découverte revient aux équipes de sécurité de Meta, qui ont identifié ce dépassement d’écriture hors limites dans la gestion des fichiers graphiques. CoreGraphics assure le rendu vectoriel bidimensionnel, le dessin de texte et le traitement d’images à travers l’ensemble de l’écosystème Apple. Un attaquant capable de soumettre un fichier malicieusement conçu, une image, un PDF ou tout document graphique, peut provoquer une exécution de code arbitraire sur l’appareil de la victime, sans interaction de sa part au-delà de l’ouverture du fichier.

La faille avait déjà été corrigée en septembre pour les versions les plus récentes des systèmes : iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1. Les correctifs publiés cette semaine étendent la protection aux appareils plus anciens, notamment les iPhone XS, XS Max et XR, les iPad de 7e génération, les iPad Air de 4e génération et ultérieurs, les iPad de 9e génération et ultérieurs, ainsi que les iPad mini de 6e génération et ultérieurs. Cette couverture rétroactive témoigne de la gravité que la firme de Cupertino attribue à cette vulnérabilité.

Apple qualifie l’exploitation d’« extrêmement sophistiquée » et ciblant des individus précis sur des versions d’iOS antérieures à iOS 27. Cette formulation, désormais standard dans les communications de sécurité de l’entreprise, désigne généralement des opérations d’espionnage ciblé menées par des acteurs étatiques ou des mercenaires du cyberespionnage commercial. Le constructeur n’a pas attribué les attaques à un groupe spécifique, mais le profil, exploitation zero-day, ciblage sélectif, contournement des protections mémoire, correspond aux campagnes menées par des acteurs comme NSO Group, Candiru ou des services de renseignement nationaux.

Cette vulnérabilité constitue le deuxième zero-day activement exploité corrigé par Apple en 2026, après CVE-2026-20700 dans dyld, l’éditeur de liens dynamiques, patché en février. La société a également dû adresser cette année une faille critique dans les écouteurs Beats Studio Buds (CVE-2025-20701) permettant l’écoute à distance via Bluetooth, ainsi que quatre vulnérabilités exploitées via le kit d’exploitation Coruna contre d’anciens iPhone et iPad dans des contextes d’espionnage et de vol de cryptomonnaies.

Le déploiement de ces correctifs sur des appareils âgés de plusieurs années illustre l’évolution de la politique de sécurité d’Apple, qui assume désormais une responsabilité de maintien en condition de sécurité bien au-delà du cycle commercial habituel. Pour les utilisateurs concernés, l’installation immédiate de ces mises à jour constitue la seule parade efficace face à une menace dont la sophistication technique ne doit pas masquer la réalité opérationnelle : des attaquants disposent d’une arme fonctionnelle contre des millions d’appareils encore en service.

Sources : The Hacker News, BleepingComputer