Apple a publié cette semaine une nouvelle vague de mises à jour de sécurité pour macOS, iOS et iPadOS. Au centre de cette série de correctifs, on retrouve WebKit, le moteur de rendu web d’Apple, qui concentre à lui seul la plupart des vulnérabilités corrigées. Et comme souvent quand Apple met en ligne des détails techniques sur ces failles, le danger monte d’un cran pour les appareils qui n’ont pas encore été mis à jour, même si, pour l’instant, Apple ne dit pas avoir vu d’exploitation active dans ses notes de sécurité.
Des correctifs importants pour macOS, iOS et iPadOS
Sur Mac, macOS Tahoe 26.6.2 corrige 28 problèmes de sécurité, dont 21 touchent WebKit, d’après les notes publiées par Apple. Côté mobile, iOS 26.6.1 et iPadOS 26.6.1 corrigent les mêmes 28 vulnérabilités, avec en plus un problème d’authentification dans le composant Telephony, toujours selon Apple.
Fait assez surprenant, les appareils plus anciens reçoivent encore plus de correctifs. iOS 18.7.10 et iPadOS 18.7.10 bouchent plus de 120 failles, dont plus de 40 dans WebKit, là encore d’après Apple. Plus de 120 failles à lui seul, ce chiffre rappelle à quel point le navigateur et tout ce qui tourne autour restent une porte d’entrée majeure dans l’écosystème Apple.
Pourquoi WebKit concentre l’attention
À lire les descriptions publiées par Apple, on n’est pas face à de simples bugs capables de faire planter Safari. Ces vulnérabilités peuvent entraîner corruption mémoire, exposer des données sensibles et, dans les cas les plus graves, permettre l’exécution de code arbitraire, une sortie de sandbox ou l’exfiltration de données.
Sur iPhone et iPad, le sujet est encore plus sensible. Apple impose en effet l’usage de WebKit aux navigateurs tiers sur iOS et iPadOS. En pratique, une faille dans ce moteur peut donc toucher non seulement Safari, mais aussi Google Chrome, Mozilla Firefox et les autres navigateurs disponibles sur l’App Store.
D’autres composants système sont également concernés
WebKit n’est pas seul dans cette mise à jour. Apple a aussi corrigé des vulnérabilités dans le noyau, ImageIO, Audio, ainsi que dans plusieurs autres composants système. D’après les notes de sécurité de l’entreprise, ces failles pouvaient servir à provoquer des dénis de service, faire fuiter des informations, permettre l’exécution de code arbitraire ou encore intercepter du trafic réseau.
Et ce n’est pas parce qu’une faille paraît moins spectaculaire qu’un bug de navigateur qu’elle est secondaire. Les correctifs qui touchent le noyau ou les bibliothèques multimédias sont souvent considérés comme critiques, justement parce qu’ils peuvent s’intégrer dans des chaînes d’attaque plus élaborées.
Pas d’exploitation confirmée, mais l’historique invite à la prudence
Pour le moment, Apple ne signale aucune exploitation active des vulnérabilités corrigées cette semaine dans ses notes de sécurité. Mieux vaut quand même rester prudent.
Une fois les mises à jour publiées, chercheurs en sécurité et attaquants ont souvent assez d’éléments en main pour disséquer les correctifs et tenter de mettre au point des exploits visant les appareils qui n’ont pas été mis à jour.
Cette prudence se comprend d’autant mieux quand on regarde l’historique récent de WebKit. Fin 2025, Apple avait déjà corrigé deux failles zero day, CVE-2025-14174 et CVE-2025-43529, que la société présentait comme exploitées dans des attaques très ciblées, avant qu’elles ne soient ajoutées au catalogue Known Exploited Vulnerabilities de la CISA. Pour les utilisateurs, la consigne reste la même, et elle est simple : installer les mises à jour dès qu’elles arrivent, surtout sur les appareils utilisés pour naviguer sur le web, pour le travail ou pour accéder à des données sensibles.
Suivez-moi sur Twitter : @pierrevitre
