iOS, macOS, iPadOS : Apple corrige plus de 120 vulnérabilités

Apple a publié en début de semaine une nouvelle série de mises à jour pour macOS, iOS et iPadOS. La dernière en date corrige près de trente vulnérabilités, majoritairement dans le moteur de rendu WebKit. C'est le troisième correctif de sécurité déployé par la marque en trois semaines.

La plupart des failles ont été trouvées sur macOS Tahoe 26.6.2, iOS 26.6.1 et iPadOS 26.6.1. En parallèle, une mise à jour pour les appareils plus anciens en corrige de son côté plus de 120. Apple ne mentionne aucune exploitation active de ces vulnérabilités, contrairement à la faille du partage d'écran corrigée la semaine dernière.

WebKit concentre l'essentiel des correctifs

macOS Tahoe 26.6.2 corrige 28 vulnérabilités, dont 21 dans WebKit, le moteur de rendu dans Safari sur les appareils Apple. Ces failles pouvaient entraîner des plantages du navigateur, une corruption de la mémoire ou la divulgation de données sensibles. Les sept autres correctifs concernent Audio, ImageIO, IOGPUFamily et le noyau. Apple a corrigé plusieurs problèmes pouvant potentiellement divulguer des informations, ou se traduire par un déni de service, une exécution de code arbitraire ou un arrêt inopiné du système.

iOS 26.6.1 et iPadOS 26.6.1 reprennent ces 28 correctifs et y ajoutent la résolution d'un problème dans le module Telephony. Un attaquant en position privilégiée sur le réseau pouvait contourner l'authentification du protocole IPSec (utilisé pour sécuriser les VPN), et intercepter du trafic réseau. Une fois de plus, Apple a crédité OpenAI Codex Security pour 9 des 29 failles repérées.

La firme a aussi publié iOS 18.7.10 et iPadOS 18.7.10, réservés aux appareils incompatibles avec iOS 26. Cette version corrige plus de 120 bugs, dont plus de 40 dans WebKit. Apple a notamment identifié des risques de sandbox escape, ou lorsqu'une application est capable de sortir de son environnement isolé pour accéder au reste du système. Certaines failles permettaient aussi l'exfiltration de données interdomaines, autorisant un site Web malveillant à récupérer des informations provenant d'un autre site. 18 correctifs supplémentaires touchent le noyau, et comblent des failles pouvant causer une corruption de la mémoire ou un contournement de filtres réseau.