Apple a publié macOS Tahoe 26.7.1, qui colmate une faille CoreGraphics possiblement exploitée lors d’une attaque ciblée sur iOS. Apple ne fait état d’aucune exploitation active, mais dans le doute, mettez à jour votre machine dès que possible.
Apple a déployé le 28 septembre macOS Tahoe 26.7.1, en même temps que macOS Sequoia 15.8.1 et macOS 27.0.1, la première mise à jour de la nouvelle génération. Rien d’exceptionnel en apparence : ces versions de maintenance arrivent après deux release candidates, dont les notes se limitaient à des correctifs de sécurité et de performance. C’est la fiche de sécurité de Tahoe qui change la lecture. Apple y détaille une faille d’écriture hors limites dans CoreGraphics, et indique avoir connaissance d’un signalement selon lequel elle pourrait avoir été exploitée contre des personnes ciblées. Le conditionnel est celui du constructeur, et il pèse autant que l’information.
Une faille CoreGraphics colmatée sur macOS Tahoe
Le correctif de macOS Tahoe 26.7.1 traite une écriture hors limites dans CoreGraphics, résolue par un contrôle renforcé des bornes mémoire. « CoreGraphics est la brique logicielle d’Apple chargée de dessiner formes, textes, images et PDF à l’écran : un composant sollicité en permanence, ce qui explique qu’un fichier piégé suffise à l’atteindre.
Traiter un fichier spécialement conçu pouvait conduire à l’exécution de code arbitraire. Le CVE-2026-86950 est crédité à Meta Product Security, et Apple n’en dit pas davantage, fidèle à sa règle de ne détailler une vulnérabilité qu’une fois les correctifs disponibles.
La fiche est précise sur le périmètre de l’attaque : elle la qualifie d’« extrêmement sophistiquée » et la situe sur des versions d’iOS antérieures à iOS 27, contre des individus ciblés. Aucune exploitation sur Mac n’est mentionnée, mais le lien avec l'attaque iOS est explicite. Les utilisateurs de Tahoe ont donc de bonnes raisons de ne pas différer l'installation.
Ce rythme n’a rien d’un hasard. Apple a confirmé en juin que l'essor des outils d’IA pèse sur son calendrier de sécurité : des correctifs prévus pour la version 26.6 ont été publiés en avance, car l’IA accélère la fabrication d’outils malveillants et réduit le délai que la marque veut laisser entre publication et déploiement. Rien, dans la fiche, n’indique que ce CVE relève de cette catégorie, mais la tendance éclaire le contexte.
iOS 27.0.1, la stabilité avant la sécurité
De l’autre côté de l’écosystème, iOS 27.0.1 arrive deux semaines après iOS 27 avec un ordre du jour plus terre à terre. Selon les notes de version d’Apple, la mise à jour corrige les redémarrages inattendus des iPhone 18 Pro et Pro Max après un échec d’authentification Face ID. Elle traite aussi un artefact coloré sur certaines photos prises en 2x dans des conditions de lumière précises à f/1.48, ainsi qu’un blocage de l’écran tactile à l’ouverture simultanée du Centre de notifications et du Centre de contrôle.
Apple ne détaille pas la cause du bug Face ID, et le sujet était sensible : les iPhone 18 Pro sont les premiers à loger la caméra infrarouge sous l’écran. Qu'un correctif logiciel suffise va dans le sens d’une origine logicielle, sans que la marque le confirme. Pour les premiers acheteurs, c’est au moins une inquiétude matérielle qui s'éloigne.
La mise à jour macOS Tahoe 26.7.1 est disponible dans Réglages Système, rubrique Général, puis Mise à jour de logiciels. La fiche d’Apple ne mentionne aucune exploitation sur Mac, mais rien ne justifie d’attendre. Les propriétaires d’un iPhone 18 Pro ou 18 Pro Max peuvent de leur côté installer iOS 27.0.1, qui corrige les redémarrages liés à Face ID.
