Ing. Calogero Bono
Apple a publié iOS 27.2.1 et les mises à jour jumelles pour iPadOS, macOS, watchOS et visionOS, sans nouvelles fonctions mais avec des correctifs de sécurité. Les premières notes étaient succinctes, puis l'entreprise a publié la documentation complète. On y trouve des failles dans iMessage, AirPlay et Bluetooth, ainsi que la clôture du dossier des certificats eMudhra sur macOS. Maintenant que les détails sont publics, mettre à jour devient plus urgent.
Quelques termes avant d'entrer dans les faits. CVE est le code qui identifie une vulnérabilité connue. Autorité de certification est l'organisme qui émet les certificats grâce auxquels un site prouve qu'il est bien le bon. Clé privée est le secret qui permet de signer ces certificats ; si elle fuite, elle peut servir à les falsifier. Ligne de commande désigne des outils comme curl et git, utilisés depuis le terminal et qui ne passent pas par les applications système. Rate limit est la limite du nombre de tentatives autorisées, par exemple avec un code d'appairage.
Quelles versions Apple a-t-elle publiées ?
Selon HDblog, iOS 27.2.1 arrive deux semaines après iOS 27.2 et corrige des bugs et des problèmes de sécurité. PadOS, macOS Golden Gate, watchOS et visionOS 27.2.1 sortent en même temps.
Les corrections touchent aussi les systèmes précédents, avec 26.7.3 et 18.7.12 pour iOS et iPadOS. Pour Mac, il y a macOS Tahoe 26.7.3 et macOS Sequoia 15.8.3, tandis que watchOS 26 passe à la 26.6.1.
Nous avions déjà raconté le paquet de mises à jour du 9 novembre. Entre-temps, la bêta d'iOS 27.3 continue, dont nous avons parlé lors de la première bêta.
Que pouvait-on faire avec les failles d'iMessage ?
Deux vulnérabilités concernent iMessage. Avec la CVE-2026-113961, un attaquant distant aurait pu entrer dans une conversation de groupe sans invitation et recevoir les messages. Avec la CVE-2026-113960, quelqu'un ajouté à un groupe aurait pu lire aussi les messages échangés avant son arrivée.
Ce sont des scénarios qui touchent à la confidentialité des conversations, y compris celles de travail entre collègues et collaborateurs.
Quels problèmes existaient dans AirPlay et Bluetooth ?
Selon MacRumors, la plupart des failles concernaient AirPlay et Bluetooth. Un appareil Bluetooth malveillant aurait pu s'associer sans aucune interaction de l'utilisateur. Un autre défaut aurait permis à un attaquant à proximité de corrompre la mémoire d'un processus.
Plusieurs bugs permettaient de contourner la limite de tentatives du code d'appairage AirPlay. HDblog cite aussi une faille dans App Intents, qui pouvait donner à une application l'accès à des données sensibles sans les autorisations nécessaires. Apple s'attribue quatre vulnérabilités, donc découvertes en interne.
Quel est le lien entre eMudhra et macOS ?
Comme le retrace 9to5Mac, Mozilla avait signalé la compromission des clés privées de huit autorités de certification intermédiaires gérées par eMudhra, une société indienne. Apple avait bloqué les certificats à partir du 19 octobre, puis d'autres protections le 23, via des mises à jour automatiques.
Des outils comme curl et git restaient exposés, car ils pouvaient accepter ces certificats. macOS 27.2.1, 26.7.3 et 15.8.3 comblent la brèche et retirent cinq certificats racine de /etc/ssl/cert.pem, dont trois eMudhra non couverts par la solution manuelle initiale.
Les applications disposant de leur propre liste de certificats n'appliquent pas le blocage d'Apple, et il faut le demander aux développeurs.
Limites à connaître
Apple n'a pas indiqué si les failles ont été exploitées dans des attaques réelles, et toutes les sources le relèvent. Nous ne savons pas combien d'appareils étaient réellement exposés ni s'il existe des exploits publics. Les sources n'expliquent pas comment chaque défaut a été corrigé. Reste aussi à voir quelles applications disposant de leurs propres certificats seront corrigées par leurs développeurs.
Ce qui change pour ceux qui travaillent avec le numérique
Pour ceux qui utilisent iPhone et Mac au travail, la mise à jour doit se faire sans attendre. Sur iPhone et iPad, va dans Réglages, Général, Mise à jour logicielle. Sur Mac, dans Réglages Système, Mise à jour de logiciels. Ceux qui gèrent un parc d'appareils devraient vérifier les versions installées, y compris les plus anciennes comme iOS 18.7.12.
Les développeurs qui utilisent curl ou git sur Mac, par exemple dans des scripts de build, doivent mettre à jour macOS ou appliquer la procédure manuelle d'Apple. Si une application embarque ses propres certificats racine, il faut vérifier auprès de son auteur.
Notre avis
Le correctif est bon, mais la méthode laisse perplexe. Des notes presque vides à la sortie et des détails seulement après poussent à installer à l'aveugle, alors que les attaquants comparent les correctifs en quelques heures. Dans l'affaire eMudhra, Apple a bien agi avec les blocages automatiques, mais il a fallu des semaines pour couvrir les outils en ligne de commande, justement ceux qu'utilisent les développeurs. Une leçon utile pour qui gère serveurs et infrastructures. Les certificats forment une chaîne, et il suffit d'un maillon non protégé.
Questions fréquentes
iOS 27.2.1 ajoute-t-il de nouvelles fonctions ?
Non. Selon HDblog, il corrige des bugs et des problèmes de sécurité, sans nouveautés. Les fonctions nouvelles arriveront avec iOS 27.3, actuellement en bêta.
Les failles ont-elles été exploitées dans des attaques ?
Ce n'est pas connu. Apple n'a pas dit qu'elles avaient été exploitées dans le monde réel. Maintenant que les détails sont publics, les appareils non mis à jour restent plus exposés.
Quels systèmes plus anciens reçoivent les correctifs ?
Les versions 26.7.3 et 18.7.12 pour iOS et iPadOS. Pour Mac, il y a macOS Tahoe 26.7.3 et Sequoia 15.8.3, et pour watchOS la 26.6.1.
Qu'est-ce que le problème des certificats eMudhra ?
C'est la compromission des clés de huit autorités de certification intermédiaires. Avec ces clés, on pouvait créer de faux certificats d'apparence valide, pour copier des sites et intercepter des données.
Comment mettre à jour mon appareil ?
Sur iPhone et iPad, va dans Réglages, Général, Mise à jour logicielle. Sur Mac, ouvre Réglages Système et choisis Mise à jour de logiciels.
Ce qu'il faut surveiller après iOS 27.2.1, entre la bêta 27.3 et les applications aux certificats propres
Les correctifs sont sortis, mais l'histoire n'est pas terminée. Comptent les prochaines versions et le comportement des applications qui ne suivent pas le blocage d'Apple.
- Vérifie si les outils que tu utilises embarquent leur propre liste de certificats racine et interroge leurs développeurs.
- Suis les bêtas de iOS 27.3 pour savoir quelles autres corrections arriveront.
- Reste attentif à d'éventuelles publications d'exploits pour les CVE d'iMessage, AirPlay et Bluetooth.
