Le 24 juillet 2026, Apple a publié une mise à jour silencieuse de son moteur anti-malware intégré XProtect, portant la base de règles à la version 5352. Cette diffusion couvre toutes les versions de macOS encore supportées, de macOS Sequoia jusqu’à macOS Tahoe et macOS Golden Gate.
Apple ne communique pas publiquement le détail des menaces adressées, mais l’analyse de la base YARA embarquée, rendue publique par Howard Oakley sur The Eclectic Light Company, permet d’identifier les évolutions concrètes de cette mise à jour.
Éléments impactés
Composant : XProtect (moteur de signatures anti-malware intégré à macOS)
Version de règles : 5352
Date de publication : 24 juillet 2026
Systèmes concernés : toutes les versions de macOS supportées
Diffusion : automatique via les mécanismes de mise à jour d’Apple ; sur Sequoia, Tahoe et Golden Gate, la propagation se fait aussi via iCloud
Détails
Article — Apple has released an update to XProtect for all macOS
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-24
Résumé factuel repris de l’article : la mise à jour XProtect 5352 introduit deux nouvelles règles YARA visant les familles MACOS.BOATLOAD.REWA et MACOS.BOATLOAD.REFU. Fait plus inhabituel, elle retire les règles concernant MACOS.DUBROBBER.D et MACOS.DUBROBBER.E, et amende la règle relative à MACOS.SOMA.D. Le fichier XPScripts.yr, dédié aux règles Osascript, n’est pas modifié.
Gravité : évaluation officielle non communiquée par Apple. Il ne s’agit pas d’un correctif de vulnérabilité (CVE), mais d’une mise à jour de signatures qui renforce la détection de malwares actifs et retire d’anciennes signatures devenues obsolètes ou redondantes.
Recommandations :
Vérifier que la version 5352 est bien installée sur les Mac administrés, via À propos de ce Mac puis Rapport système > Installations, ou avec SilentKnight/SystHist pour un inventaire précis.
Sur macOS Sequoia, Tahoe et Golden Gate, forcer la vérification en Terminal avec sudo xprotect check et, si besoin, sudo xprotect update.
Sur les versions antérieures, si SilentKnight signale une désynchronisation, forcer l’installation via l’identifiant de mise à jour XProtectPlistConfigData_10_15-5352.
Rester attentif aux publications ultérieures d’Apple : le retrait des règles DUBROBBER.D/E reste inexpliqué à ce stade et pourrait indiquer soit une consolidation dans une autre règle, soit une réévaluation du risque.
Tableau des références
Titre de la page du support technique
URL officielle
Date de publication
Apple has released an update to XProtect for all macOS (The Eclectic Light Company, Howard Oakley)
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 2 juillet 2026, l’équipe Jamf Threat Labs, sous la plume du chercheur Thijs Xhaflaire, a publié une analyse détaillée d’un nouveau voleur d’informations (« infostealer ») pour macOS baptisé PamStealer. Ce logiciel malveillant se dissimule sous l’apparence de Maccy, un gestionnaire de presse-papiers open source populaire, et cible spécifiquement les Mac équipés d’une puce Apple Silicon. Son mode opératoire présente deux particularités qui méritent l’attention : d’une part, une chaîne d’exécution en deux étapes qui combine un AppleScript compilé (.scpt) et une charge finale écrite en Rust ; d’autre part, une validation locale du mot de passe utilisateur via l’API PAM (Pluggable Authentication Modules) de macOS, avant exfiltration.
Ce bulletin s’inscrit dans la continuité de la veille sur les infostealers macOS. Il ne s’agit pas d’une vulnérabilité au sens strict, mais d’une campagne active exploitant l’ingénierie sociale et un contournement discret des protections système. Pour les utilisateurs de Mac, le message est clair : télécharger Maccy uniquement depuis le site officiel maccy.app et se méfier des sites imitant les marques d’outils légitimes.
Éléments impactés
Système visé : macOS, uniquement sur Apple Silicon (M1, M2, M3, M4 et M5). Les Mac Intel sont épargnés par cette variante en raison d’un contrôle d’empreinte matérielle.
Application usurpée : Maccy (maccy.app), gestionnaire de presse-papiers open source légitime développé par Alex Rodionov.
Domaines malveillants identifiés par Jamf : maccyapp[.]com et maccyapp[.]net.
Données ciblées : mots de passe stockés dans les navigateurs, cookies, données d’extensions de portefeuilles de cryptomonnaies, éléments du trousseau iCloud et contenu du presse-papiers.
Mesure officielle : le développeur de Maccy a publié un avertissement sur son site officiel et son dépôt GitHub.
La victime est attirée vers un site imitant Maccy (maccyapp[.]com ou maccyapp[.]net) et télécharge une image-disque contenant un fichier AppleScript compilé nommé Maccy.scpt.
L’utilisateur est invité à ouvrir le fichier avec Script Editor puis à exécuter le script via le raccourci Cmd + R ou en cliquant sur « Run ». Ce mode d’exécution reste opérationnel même lorsque le fichier porte encore l’attribut com.apple.quarantine, ce qui rend l’approche particulièrement attractive alors qu’Apple renforce régulièrement Gatekeeper et Terminal.
Le script exécute un JXA (JavaScript for Automation) intégré qui télécharge et installe la charge suivante en s’appuyant sur des API Objective-C natives.
Le dropper effectue une empreinte de l’hôte (architecture CPU, langue, disposition du clavier, fuseau horaire). Cette empreinte sert à dériver une clé qui déchiffre une configuration contenant l’URL de la charge et le chemin d’installation. Sur Mac Intel, la clé dérivée est différente et le déchiffrement échoue, ce qui termine l’exécution.
Le script évite également les environnements sandboxés ou d’analyse, ainsi que les systèmes dont le fuseau horaire, la langue et la disposition clavier correspondent à des pays d’Europe de l’Est (Russie, Biélorussie, Kazakhstan, Arménie, Azerbaïdjan, Kirghizistan, Moldavie, Tadjikistan, Ouzbékistan, Turkménistan, Géorgie).
Une fois les vérifications passées, un binaire Mach-O écrit en Rust est téléchargé. Il se déguise sous l’apparence de l’application Finder et prend en charge la collecte de données : navigateurs, extensions de portefeuilles de cryptomonnaies, trousseau iCloud, contenu du presse-papiers.
Le voleur affiche une invite native de mot de passe demandant le mot de passe système. Le mot de passe saisi est validé localement via l’API PAM : si la validation échoue, l’invite est réaffichée jusqu’à saisie correcte.
Une fois un mot de passe valide capturé, un second message factice, imitant l’alerte Gatekeeper (« Maccy is damaged and can’t be opened. You should move it to the Trash »), est affiché. Il s’agit d’un leurre : la charge a déjà été exécutée, le mot de passe capturé et la persistance mise en place.
La persistance est assurée par un petit binaire Mach-O arm64 embarqué, qui imite l’apparence de Réglages Système.
Les données collectées sont chiffrées puis exfiltrées vers avenger-sync[.]live par une requête HTTP sortante.
Gravité
Jamf Threat Labs ne publie pas de score CVSS pour cette campagne. L’équipe qualifie cependant PamStealer d’illustration d’une évolution des stealers macOS courants vers des chaînes d’exécution plus discrètes et des implémentations natives qui réduisent les opportunités de détection classiques tout en restant compatibles avec les mécanismes standard de macOS.
Recommandations
Ne télécharger Maccy que depuis le site officiel maccy.app ou depuis le dépôt GitHub officiel du projet.
Ne jamais exécuter un script AppleScript (.scpt) reçu par un canal non vérifié, même s’il semble anodin dans Script Editor : le contenu malveillant peut être caché après plusieurs pages de lignes vides.
Se méfier des sites qui imitent visuellement des marques légitimes (maccyapp[.]com, maccyapp[.]net) : seul maccy.app est le site officiel.
Ne pas saisir son mot de passe système en réponse à une invite déclenchée par une application dont l’origine n’est pas certaine.
Maintenir macOS et les protections XProtect à jour via Mise à jour de logiciels.
Sur un Mac Apple Silicon, considérer que l’absence d’exécution sur Intel ne signifie pas absence de risque : cette variante est spécifiquement optimisée pour Apple Silicon.
Références
Titre de la page
URL officielle
Date de publication
PamStealer: macOS Malware Posing as Clipboard Manager App
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé, dans les mises à jour publiées le 29 juin 2026, une vulnérabilité mémoire affectant le composant WebRTC de WebKit, le moteur de rendu web utilisé par Safari et intégré au niveau système sur les plateformes Apple. Identifiée sous la référence CVE-2026-43746, cette faille peut, à partir d’un simple contenu web piégé, provoquer l’arrêt inattendu de Safari. Pour tout utilisateur de Safari, iOS, iPadOS ou macOS Tahoe, l’application des correctifs Safari 26.5.2, iOS/iPadOS 26.5.2 et macOS Tahoe 26.5.2 est fortement recommandée.
Éléments impactés
Safari : versions antérieures à 26.5.2 — corrigé dans Safari 26.5.2
iOS et iPadOS : versions antérieures à 26.5.2 — corrigé dans iOS 26.5.2 et iPadOS 26.5.2
macOS Tahoe : versions 26.0 à 26.5.2 (exclus) — corrigé dans macOS Tahoe 26.5.2
Date de publication du correctif : 29 juin 2026
Détails
CVE-2026-43746 — Use-after-free dans WebRTC (WebKit)
Description officielle Apple / NVD : « A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.5.2, iOS 26.5.2 and iPadOS 26.5.2, macOS Tahoe 26.5.2. Processing maliciously crafted web content may lead to an unexpected Safari crash. »
Explication vulgarisée : Il s’agit d’un défaut de type « use-after-free » (CWE-416). Ce type de bug survient lorsqu’un programme continue d’utiliser un pointeur vers une zone mémoire qui a déjà été libérée. Dans ce cas précis, un site web malveillant peut fabriquer un contenu spécifique qui déclenche la libération prématurée d’un objet WebRTC toujours référencé. Le résultat immédiat observé est un crash de Safari.
Gravité : Score CVSS 3.1 attribué par CISA-ADP : 6.5 (MEDIUM) — vecteur AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. L’attaque est réalisable à distance via le réseau (AV:N), de faible complexité (AC:L), sans privilège requis (PR:N), mais nécessite une interaction utilisateur — typiquement la visite d’une page web (UI:R). L’impact direct porte sur la disponibilité (A:H), avec un crash du processus Safari.
Portée réelle : Historiquement, les failles use-after-free dans WebKit peuvent, lorsqu’elles sont chaînées à d’autres primitives, devenir des vecteurs d’exécution de code arbitraire. La mise à jour vers les versions corrigées est donc à traiter comme prioritaire, même si l’impact directement documenté reste un déni de service côté client.
Attribution : Correctif référencé par Apple sous le composant « WebRTC » (WebKit Bugzilla 314090), attribué à dr3dd.
Recommandations
Installer sans délai Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 selon les appareils utilisés.
Sur les appareils gérés en flotte, vérifier la conformité du parc via MDM et forcer la mise à niveau si besoin.
Éviter, en attendant la mise à jour, la navigation sur des sites non maîtrisés depuis un appareil vulnérable.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Depuis WWDC 2026, les mises à jour de XProtect et XPR se sont tues. Apple déploie en parallèle deux architectures de protection, introduit l’outil xprotect en ligne de commande et prépare « Golden Gate », un modèle de sécurité natif Apple Silicon. Ce que les notes de version « sans CVE » ne disent pas.
Votre Mac n’a pas reçu de nouvelle signature de malware depuis le 2 juin. L’outil de remédiation XPR, lui, n’a pas bougé depuis le 17 février cent quarante-deux jours d’immobilité, un record historique. Pourtant, aucune alerte n’a été émise, aucun communiqué n’a été publié. Si vous ouvrez l’utilitaire softwareupdate, tout paraît normal. Mais sous le capot, Apple a silencieusement basculé vers une architecture duale de protection, gérée par un nouvel outil en ligne de commande nommé xprotect, qui télécharge ses règles depuis iCloud via un helper privilégié authentifié par la Secure Enclave. Bienvenue dans l’ère « Golden Gate ».
Le silence qui en dit long
Depuis des années, le rythme était métronomique : XProtect (les règles Yara de détection) s’actualisait chaque semaine, XPR (le scanner de remédiation) toutes les quatre à dix-huit semaines. C’était prévisible, documenté, rassurant. Puis, mi-juin 2026, juste après la WWDC, le métronome s’est arrêté. La version 5347 de XProtect, publiée le 2 juin, est restée la dernière en date pendant plus de cinq semaines. Côté XPR, la version 157 du 17 février n’a toujours pas de successeur, pulvérisant le précédent record d’intervalle.
Howard Oakley, sur Eclectic Light Company, a été le premier à pointer cette anomalie le 10 juillet. Ses relevés montrent que les mises à jour XProtect, hebdomadaires depuis dix-huit mois, n’ont été perturbées que par les périodes de fêtes. L’intervalle actuel égale le pire creux de Noël. Quant à XPR, ses 142 jours d’inactivité dépassent largement sa fourchette historique de 30 à 126 jours. Ce n’est pas un oubli : c’est une rupture.
Parallèlement, Apple a publié macOS Tahoe 26.5.1 et iOS 26.5.1 le 1er juin, estampillés « This update has no published CVE entries ». La même mention accompagne les mises à jour 15.7.7 pour macOS Sequoia et 14.8.7 pour macOS Sonoma. En langage clair : ce ne sont pas des correctifs de vulnérabilités connues. Ce sont des changements d’architecture déployés sous couvert de « mises à jour de sécurité sans CVE ».
Deux XProtect, deux canaux, une même machine
Depuis macOS Sequoia (15), votre Mac héberge non plus un mais deux bundles XProtect distincts. Le premier, historique, siège dans /Library/Apple/System/Library/CoreServices/XProtect.bundle et continue d’être mis à jour via le démon softwareupdated — le canal classique des mises à jour système. Le second, nouveau et désormais préféré, occupe un emplacement parallèle géré par l’outil xprotect en ligne de commande et son compagnon privilégié, XProtectRemediatorHelper.
Ce helper s’exécute dans un contexte hautement privilégié, authentifié par la Secure Enclave, et établit une connexion TLS mutuelle vers les serveurs de distribution iCloud pas vers le CDN public d’Apple. La différence est fondamentale : l’ancien canal pousse des mises à jour groupées (batch) selon le calendrier de softwareupdated ; le nouveau permet une distribution continue (push), découplée du cycle de mise à jour du système d’exploitation.
La page de manuel man xprotect, introduite avec macOS Sequoia et Tahoe, documente trois sous-commandes : xprotect status pour inspecter l’état des deux bundles, xprotect update pour forcer une actualisation manuelle du nouveau bundle, et xprotect scan pour lancer un scan à la demande. C’est la première fois qu’Apple expose un outil d’administration de sa protection anti-malware aux administrateurs et utilisateurs avertis.
Pourquoi cette dualité ?
L’architecture historique XProtect/MRT/XPR repose sur un modèle hérité de l’ère Intel : détection par signatures (Yara), remédiation par suppression de fichiers connus, le tout orchestré depuis l’espace utilisateur avec des privilèges élevés. Ce modèle a montré ses limites face aux attaques « ClickFix » qui prolifèrent en 2026 : l’utilisateur est manipulé pour exécuter lui-même un AppleScript malveillant (souvent via Command-R dans un faux terminal), contournant ainsi toute détection de binaire. XProtect ne voit rien, car aucun fichier malveillant n’est écrit sur le disque avant exécution.
La réponse d’Apple ne peut pas être une énième règle Yara. Elle nécessite un changement de paradigme : passer de la détection périodique de fichiers à une vérification continue du comportement, ancrée dans le matériel. C’est là qu’intervient « Golden Gate » le nom de code interne évoqué par Oakley pour désigner la refonte du modèle de sécurité pour Apple Silicon complet.
Golden Gate : le noyau dur de la sécurité Apple Silicon
Le nom de code « Golden Gate » n’apparaît dans aucune documentation publique. Il émerge des observations croisées : l’arrêt simultané des deux canaux de mise à jour, l’introduction de l’outil xprotect avec son helper sécurisé par Secure Enclave, la distribution via iCloud avec TLS mutuel, et les mises à jour « sans CVE » qui modifient l’infrastructure sans corriger de faille référencée.
L’hypothèse technique la plus solide : Golden Gate exploite les primitives matérielles exclusives aux puces Apple Silicon Secure Enclave, démarrage vérifié, mémoire unifiée, extensions de noyau signées Apple pour remplacer le triptyque Gatekeeper + signature de code + SIP (héritage Intel) par un modèle « zero-trust » où chaque exécution de binaire peut déclencher une vérification cloud (avec cache local chiffré). Le containment matériel (isolation via Virtualization Framework + Secure Enclave) remplacerait la détection logicielle pure. XPR serait progressivement remplacé par un « SecurityKit » étendant EndpointSecurity pour les EDR tiers, tandis que les MDM géreraient des « modèles de menace » au lieu de listes blanches/noires.
Ce n’est pas une spéculation gratuite : la documentation développeur XProtect Framework (https://developer.apple.com/documentation/security/xprotect) décrit déjà des API pour l’inspection de code en temps réel, et l’outil xprotect en ligne de commande préfigure l’interface d’administration de ce nouveau modèle.
Ce que cela change pour vous, aujourd’hui
Concrètement, sur un Mac sous macOS Sequoia 15 ou Tahoe 26, vous disposez de deux moteurs de protection actifs. L’ancien continue de recevoir des règles Yara via softwareupdate (quand elles reprennent). Le nouveau, plus réactif, tire ses règles d’iCloud via XProtectRemediatorHelper. Vous pouvez vérifier leur état à tout moment :
`bash xprotect status `
La sortie affiche la version, la date et la source de chaque bundle. Si le nouveau bundle semble périmé, xprotect update force une synchronisation immédiate depuis iCloud. Un xprotect scan ~/Downloads lance un audit à la demande sur un dossier suspect une fonctionnalité inédite pour l’utilisateur final.
Pour les administrateurs de parcs, la dualité impose une vigilance accrue : les profils de configuration MDM qui gèrent les mises à jour de sécurité via softwareupdated ne couvrent plus le nouveau canal. Il faut s’assurer que le trafic vers les serveurs de distribution iCloud (ports 443, TLS mutuel, certificats ancrés dans la Secure Enclave) n’est pas bloqué par un pare-feu d’entreprise mal configuré.
Tableau comparatif : ancien vs nouveau canal XProtect
| Caractéristique | Canal historique (softwareupdated) | Nouveau canal (xprotect + iCloud) | |—————-|————————————–|————————————-| | Emplacement du bundle | /Library/Apple/System/Library/CoreServices/XProtect.bundle | Emplacement parallèle géré par xprotect | | Déclencheur de mise à jour | Calendrier softwareupdated (batch hebdomadaire) | Push continu depuis serveurs iCloud | | Authentification | Certificats Apple standard | TLS mutuel + Secure Enclave | | Outil d’administration | softwareupdate (système) | xprotect (CLI utilisateur/admin) | | Visibilité utilisateur | Aucune (opaque) | xprotect status, xprotect scan | | Résilience aux attaques ClickFix | Faible (signatures statiques) | Potentiellement meilleure (vérif. continue) | | Documentation publique | Notes de mise à jour macOS | man xprotect, page développeur XProtect Framework |
Ce qu’il faut surveiller dans les mois qui viennent
1. Reprise des mises à jour XPR : si le délai dépasse 180 jours sans nouvelle version, cela confirmera l’abandon progressif de l’architecture XPR au profit du modèle Golden Gate. 2. Documentation officielle de xprotect : l’apparition d’une page de support Apple (HTxxxx) dédiée à l’outil CLI signalerait la fin de la phase expérimentale. 3. Extensions EndpointSecurity : les éditeurs EDR tiers (Jamf, Kandji, SentinelOne, CrowdStrike) devront migrer vers les nouvelles API « SecurityKit » si Golden Gate se concrétise. 4. Mises à jour « sans CVE » : chaque occurrence de cette mention dans les notes de version macOS/iOS marquera probablement une brique supplémentaire de l’infrastructure Golden Gate.
En résumé : ce qu’il faut retenir et faire
1. Vérifiez l’état de vos deux XProtect avec xprotect status c’est gratuit, instantané, et ça révèle si le nouveau canal fonctionne. 2. Autorisez le trafic iCloud/TLS mutuel sur vos pare-feux d’entreprise — sans lui, le nouveau canal de protection est coupé. 3. Testez xprotect scan sur les dossiers à risque (Téléchargements, pièces jointes mail) c’est le premier scanner à la demande natif macOS. 4. Suivez les notes de version « sans CVE » elles sont le signal faible en apparence, fortes en réalité architecturale. 5. Anticipez la fin de XPR — si votre stratégie de sécurité repose sur les moteurs de remédiation actuels, préparez la migration vers les API EndpointSecurity étendues.
La protection anti-malware sur Mac ne s’est pas arrêtée : elle a muté. Le silence des mises à jour n’est pas une panne, c’est le bruit d’un changement de moteur en plein vol. Apple ne répare pas une vulnérabilité elle reconstruit la forteresse autour du silicium qu’elle contrôle. C’est ce que « Golden Gate » promet : une sécurité qui ne dépend plus de la fréquence des signatures, mais de la physique de la puce.
Sources
1. Howard Oakley, « Is malware protection changing? », Eclectic Light Company, 10 juillet 2026 — https://eclecticlight.co/2026/07/10/is-malware-protection-changing/ 2. Apple Support, « Apple security releases », HT201222 — entrées macOS Tahoe 26.5.1, iOS 26.5.1, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 (« This update has no published CVE entries ») — https://support.apple.com/en-us/100100 3. Apple Developer, man xprotect (page de manuel macOS Sequoia/Tahoe) — documentation de l’outil CLI xprotect status, xprotect update, xprotect scan 4. Apple Developer Documentation, XProtect Framework — https://developer.apple.com/documentation/security/xprotect
Versions et matériels concernés : macOS Sequoia 15.x, macOS Tahoe 26.x, Mac à puce Apple Silicon (M1 à M5), Secure Enclave requise pour le helper XProtectRemediatorHelper.
Deux évènements marquants de la veille sécurité Apple rythment ce bulletin du 16 juillet 2026. D’un côté, les chercheurs de Jamf Threat Labs ont publié le 13 juillet 2026 une analyse détaillée d’un voleur d’informations (« infostealer ») inédit pour macOS, baptisé CrashStealer, qui usurpe l’apparence de l’outil de rapport d’erreurs d’Apple pour dérober trousseaux, mots de passe et portefeuilles de cryptomonnaies.
De l’autre, l’expert reconnu Howard Oakley, sur The Eclectic Light Company, a documenté le 15 juillet 2026 la sortie de la mise à jour XProtect 5351, la première depuis le 2 juin — un intervalle inhabituellement long qui prend fin avec l’ajout de six nouvelles règles Yara, dont plusieurs visent la famille de « stealers » Boatload.
Ces deux annonces se lisent conjointement : XProtect, la protection anti-malware intégrée à macOS, se remet en marche au moment même où une nouvelle famille de voleurs d’identifiants passe en phase active. Le message pour l’utilisateur est simple : vérifier que sa protection est à jour, et adopter des réflexes de vigilance renforcés face aux images-disque (DMG) reçues par des canaux inhabituels.
Éléments impactés
Systèmes concernés par CrashStealer : macOS (tous systèmes actuellement supportés, la mécanique de persistance et de vol s’appuyant sur des API standard macOS).
Composant de protection concerné par la mise à jour : XProtect, la brique anti-malware intégrée à macOS (fichier de signatures Yara).
Version corrective XProtect publiée : 5351 (précédente : 5347, datée du 2 juin 2026).
Date de publication observée par l’analyste : 2026-07-15.
Livraison : automatique via Mise à jour de Logiciels et via iCloud sur macOS Sequoia, macOS Tahoe et macOS Golden Gate.
Les chercheurs de Jamf ont d’abord détecté CrashStealer en mai 2026, à l’état de développement ; les premières détections « en conditions réelles » remontent à début juillet 2026, marquant son passage à un usage actif par des attaquants.
Chaîne d’infection observée :
L’attaque débute par une image-disque (DMG) nommée « Werkbit Setup », hébergée sur le domaine werkbit[.]io. L’accès au téléchargement est protégé par un code de type « code de réunion », ce qui limite la diffusion aux victimes déjà ciblées.
Le DMG contient une application unique, Werkbit.app, dont l’exécutable interne se nomme veltod. Fait notable, le DMG lui-même est signé, en plus de l’application qu’il contient — pratique inhabituelle dans les campagnes malveillantes.
La signature utilise l’identifiant développeur « Emil Grigorov (WWB7JA7AQV) » et embarque un ticket de notarisation valide. Cette combinaison permet de passer sans blocage la validation initiale de Gatekeeper, la protection macOS contre les logiciels non fiables. Jamf indique avoir signalé ce Team ID à Apple.
Une fois lancé, veltod contacte un dépôt GitHub, télécharge un script qui à son tour récupère l’archive CrashReporter.dmg. Cette dernière contient la charge finale, copiée dans un dossier caché, dont le nom, l’icône et l’identifiant de bundle imitent le composant Apple CrashReporter.
Le programme affiche alors une fausse fenêtre de mot de passe qui reproduit l’apparence d’une invite système. Il valide localement l’authentification via la commande macOS dscl avant de poursuivre.
Une fois le mot de passe obtenu, CrashStealer déverrouille le trousseau (Keychain) et exfiltre ses données, puis collecte les profils de navigateurs Chromium (Chrome, Edge, Brave…) et les identifiants Firefox, les données d’environ 80 extensions de portefeuilles de cryptomonnaies (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus…), les stockages de 14 gestionnaires de mots de passe (1Password, Bitwarden, LastPass, Dashlane, Keeper…) et une sélection de fichiers dans les dossiers Documents, Téléchargements.
Les fichiers collectés sont chiffrés individuellement en AES-256-GCM, regroupés dans des archives ZIP masquées, puis exfiltrés vers un serveur de commande via la bibliothèque réseau libcurl.
La persistance est assurée par une copie du binaire réappliquée avec une signature ad hoc, installée comme LaunchAgent sous le nom com.apple.crashreporter.helper, ce qui déclenche le lancement à chaque ouverture de session utilisateur.
Signature technique distinctive : CrashStealer est écrit en C++ natif (autour d’une classe interne nommée MacOSData), alors que la plupart des stealers commodités de l’écosystème macOS reposent sur des scripts AppleScript ou des enveloppes Objective-C minces. Il embarque également des techniques anti-analyse : aplatissement du flot de contrôle, chiffrement des chaînes de caractères, et détection de débogueur en plusieurs points du démarrage.
Gravité : Jamf ne publie pas de score CVSS pour cette menace (Je ne sais pas.). La combinaison signature Developer ID valide + notarisation + ciblage de trousseau et portefeuilles cryptos en fait néanmoins une menace de premier plan pour tout utilisateur qui manipule des cryptomonnaies, des mots de passe sensibles ou des identifiants professionnels.
Recommandations :
Ne jamais monter et exécuter un fichier .dmg reçu par un canal inhabituel (invitation de « réunion » avec un code de téléchargement, lien inattendu, fichier partagé sans contexte).
Se méfier de toute invite de mot de passe apparaissant hors du contexte système habituel, en particulier si elle est demandée par un installeur récent.
Vérifier périodiquement les LaunchAgents installés (dossier ~/Library/LaunchAgents/) et supprimer toute entrée suspecte, notamment com.apple.crashreporter.helper — le vrai composant Apple ne porte pas ce nom.
Consulter le rapport Jamf pour la liste complète des indicateurs de compromission (IOC), hashes de fichiers, noms de domaines et artefacts laissés sur disque.
Article 2 — Eclectic Light Company : mise à jour XProtect 5351
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-15
Après une pause de 43 jours depuis la version 5347 publiée le 2 juin 2026, Apple a publié le 15 juillet 2026 la mise à jour XProtect 5351. Comme à son habitude, Apple ne détaille pas publiquement les problèmes de sécurité couverts par cette mise à jour. L’analyse indépendante du fichier de règles Yara publiée par Howard Oakley révèle néanmoins :
Six nouvelles règles Yara ajoutées pour les familles : MACOS.ANGRYORB.OX, MACOS.BOATLOAD.STCRST, MACOS.BOATLOAD.PRIN, MACOS.BOATLOAD.PEME, MACOS.VSHELL.DITA, MACOS.VSHELL.DR.
Une modification des règles existantes pour MACOS.MISOMAGIC.PA.
Un ajustement d’espacement pour MACOS.SOMA.STTX.
Concernant le fichier XPScripts.yr (règles pour scripts osascript, souvent utilisés par les attaques par ingénierie sociale) : 14 nouvelles règles, plus des amendements pour MACOS.OSASCRIPT.TIPA, MACOS.OSASCRIPT.SYPR, MACOS.OSASCRIPT.TADE et MACOS.OSASCRIPT.REOB.
Howard Oakley note que la famille Boatload, à en juger par la structure des règles Yara ajoutées, correspond très vraisemblablement à un voleur d’informations (« stealer »). Cette observation entre en résonance directe avec l’analyse Jamf publiée deux jours plus tôt sur CrashStealer, sans qu’un lien formel puisse être établi à ce stade (Je ne sais pas.).
Vérification et forçage de la mise à jour :
Ouvrir Informations Système via À propos de ce Mac, puis rubrique Logiciels > Installations pour retrouver la trace de XProtectPlistConfigData_10_15-5351.
Sur macOS Sequoia, Tahoe et Golden Gate, la commande Terminal sudo xprotect check (puis mot de passe administrateur) affiche la version installée ; sudo xprotect update force le rafraîchissement si nécessaire.
L’utilitaire tiers SilentKnight (Howard Oakley) permet également de forcer l’installation via son étiquette dédiée XProtectPlistConfigData_10_15-5351.
Gravité : Apple ne publie pas d’évaluation officielle de sévérité pour les mises à jour XProtect (Je ne sais pas.). L’ajout de règles Yara actives et l’intervalle inhabituellement long depuis la précédente mise à jour justifient toutefois une installation rapide.
Vulgarisation
XProtect est le module de protection anti-malware intégré à macOS. Il fonctionne comme un antivirus « silencieux » qui vérifie chaque application avant son premier lancement à la recherche de signatures de menaces connues. Ces signatures prennent la forme de « règles Yara », un langage standardisé pour décrire les caractéristiques d’un fichier malveillant. Apple met à jour ces règles en arrière-plan sans notification à l’utilisateur — d’où l’utilité d’outils comme SilentKnight ou de la commande sudo xprotect check pour vérifier ce qui est réellement en place.
Un infostealer est un logiciel malveillant conçu pour dérober des informations sensibles : mots de passe stockés dans le navigateur, contenu du trousseau macOS, clés privées de portefeuilles de cryptomonnaies, cookies de session. Contrairement à un rançongiciel qui bloque l’accès aux données, l’infostealer opère discrètement et exfiltre son butin vers un serveur contrôlé par les attaquants.
La particularité de CrashStealer est qu’il passe la validation Gatekeeper : il est signé avec un identifiant développeur Apple et bénéficie d’un ticket de notarisation valide. Cela signifie qu’Apple a délivré, dans un premier temps, une autorisation formelle à cet éditeur, sans savoir qu’il produirait un logiciel malveillant. Une fois la fraude découverte, Apple révoque généralement l’identifiant, ce qui empêche les nouvelles exécutions ; les copies déjà installées peuvent en revanche continuer à fonctionner jusqu’à ce que XProtect ajoute la règle Yara correspondante — d’où l’importance du lien entre les deux évènements de ce bulletin.
Comment se protéger
Sur Mac : Réglages Système > Général > Mise à jour de Logiciels, puis vérifier que les mises à jour système et de sécurité automatiques sont activées.
Vérifier la version de XProtect installée : ouvrir le Terminal et taper sudo xprotect check (nécessite votre mot de passe administrateur). Elle doit être 5351 ou plus récente.
Ne pas monter d’image-disque .dmg reçue d’un contact inconnu ou via un lien inattendu, y compris quand elle prétend venir d’un service légitime.
Réviser périodiquement les LaunchAgents installés dans ~/Library/LaunchAgents/ et /Library/LaunchAgents/.
Pour un audit approfondi : utiliser un outil de vérification comme SilentKnight (Eclectic Light Company) ou KnockKnock (Objective-See Foundation), tous deux gratuits et développés par des chercheurs macOS reconnus.
Tableau des références
Titre de la page
URL officielle
Date de publication
CrashStealer: A Native macOS Infostealer Impersonating Apple’s Crash Reporter
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a corrigé une nouvelle vulnérabilité dans WebKit, le moteur de rendu utilisé par Safari et par toutes les applications qui affichent du contenu web sur les plateformes Apple. Référencée CVE-2026-43745, cette faille peut provoquer un arrêt inattendu de Safari lorsque l’utilisateur consulte une page malveillante spécifiquement conçue pour l’exploiter.
Ce bulletin fait partie d’une série d’annonces marquantes : Apple crédite officiellement, pour la première fois, des équipes de recherche assistées par intelligence artificielle dans la découverte de vulnérabilités WebKit. Dans le cas présent, la faille a été identifiée par Amy Burnett et Khai Tran de l’équipe OpenAI Codex Security.
Éléments impactés
Safari : versions antérieures à 26.5.2
iOS : versions antérieures à 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS : versions antérieures à 26.5.2 (iPad Pro, iPad Air 3ᵉ génération et ultérieurs, iPad 8ᵉ génération et ultérieurs, iPad mini 5ᵉ génération et ultérieurs)
macOS Tahoe : versions 26.0 à 26.5.1 incluses
Correctifs Apple publiés le 29 juin 2026 : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2, macOS Tahoe 26.5.2.
Description officielle Apple (VO) : « An out-of-bounds write issue was addressed with improved input validation. Processing maliciously crafted web content may lead to an unexpected Safari crash. »
Traduction fidèle : Un problème d’écriture hors limites a été corrigé par une amélioration de la validation d’entrée. Le traitement d’un contenu web malicieusement conçu peut entraîner un arrêt inattendu de Safari.
Classification : CWE-787 (Out-of-bounds Write).
Gravité : CVSS 6.5 MEDIUM — Source CISA-ADP, vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. Le NIST n’a pas attribué de score à la date de rédaction.
Attaque : à distance, via un simple contenu web piégé (aucune authentification, mais interaction utilisateur requise pour consulter la page).
Impact observable : arrêt inattendu du processus Safari (déni de service côté client). Le vecteur CVSS n’indique pas d’atteinte directe à la confidentialité ou à l’intégrité. Aucune exploitation active n’a été signalée par le NVD à ce jour.
Recommandation : appliquez immédiatement les mises à jour Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2, selon vos appareils.
Vulgarisation
WebKit est le moteur qui traduit le code des pages web (HTML, CSS, JavaScript, Canvas) en pixels affichés à l’écran. Une écriture hors limites signifie que le programme écrit des données au-delà de la zone mémoire qui lui est réservée : c’est comme dépasser la bordure d’un cahier lorsqu’on écrit. Résultat immédiat : Safari se ferme brutalement. Dans certains cas, ce type de faille peut être combiné avec d’autres pour aboutir à un impact plus grave, d’où l’importance de la corriger sans attendre.
Comment mettre à jour
iPhone / iPad : Réglages > Général > Mise à jour logicielle
Mac : Réglages Système > Général > Mise à jour de logiciels
Safari : mis à jour automatiquement avec le système sur iOS/iPadOS ; séparément via Mise à jour de logiciels sur macOS Sonoma et Sequoia
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a publié une nouvelle salve de correctifs pour Safari, iOS, iPadOS et macOS Tahoe. Parmi les failles corrigées figure CVE-2026-28979, une vulnérabilité d’accès hors limites située dans le composant WebRTC du moteur WebKit. Concrètement, la visite d’une page web spécialement conçue peut provoquer l’arrêt inattendu de Safari ou d’une application qui embarque WebKit. Le correctif renforce la vérification des bornes mémoire manipulées lors des échanges temps réel du navigateur.
Ce bulletin de veille rappelle les versions correctives publiées, la source officielle Apple pour chaque plateforme concernée, ainsi que le geste de mise à jour à effectuer.
Éléments impactés
Safari : versions antérieures à 26.5.2
iOS 26 : versions antérieures à 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS 26 : versions antérieures à 26.5.2 (iPad Pro, iPad Air 3ᵉ génération et ultérieurs, iPad 8ᵉ génération et ultérieurs, iPad mini 5ᵉ génération et ultérieurs)
macOS Tahoe 26 : versions 26.0 à 26.5.1 incluses
Correctifs Apple publiés le 29 juin 2026 : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2, macOS Tahoe 26.5.2.
Détails de la vulnérabilité
CVE-2026-28979 — Accès hors limites dans WebRTC (WebKit)
Description officielle Apple (VO) : « An out-of-bounds access issue was addressed with improved bounds checking. Processing maliciously crafted web content may lead to an unexpected process crash. »
Traduction fidèle : Un problème d’accès hors limites a été corrigé par un contrôle amélioré des bornes. Le traitement d’un contenu web spécialement conçu peut entraîner l’arrêt inattendu d’un processus.
Classification : CWE-125 (Out-of-bounds Read) et CWE-787 (Out-of-bounds Write).
Gravité : CVSS 6.5 MEDIUM — Source CISA-ADP, vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. Le NIST (NVD) n’a pas attribué de score à la date de rédaction.
Attaque : à distance, via un contenu web piégé. Aucune authentification n’est requise ; une interaction utilisateur (le simple fait d’ouvrir la page) suffit.
Impact observable : arrêt inattendu du processus qui embarque WebKit (déni de service côté client). Le vecteur CVSS n’indique pas d’atteinte directe à la confidentialité ou à l’intégrité, mais un défaut d’accès hors limites dans un moteur de rendu web reste surveillé de près : combiné à d’autres primitives, il peut ouvrir la voie à des scénarios d’exploitation plus lourds.
Chercheurs crédités : Je ne sais pas. La note officielle Apple pour cette entrée ne mentionne aucun chercheur nommément. Identifiant WebKit Bugzilla associé : 317324.
Recommandation : appliquez immédiatement les mises à jour Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 selon vos appareils. La faille étant déclenchable par une simple visite de site, la protection ne dépend d’aucune action volontaire au-delà de la navigation.
Vulgarisation
WebKit est le moteur qui traduit le code des pages web (HTML, CSS, JavaScript) en pixels affichés à l’écran. WebRTC est la brique de ce moteur qui gère les communications temps réel du navigateur : appels audio et vidéo, partage d’écran, échange de données entre pairs.
Un accès hors limites signifie que le programme lit ou écrit dans une zone mémoire au-delà de ce à quoi il avait droit. C’est comme sortir d’une case dans un tableur pour aller lire ou écrire dans la colonne d’à côté sans y être autorisé. Résultat immédiat : le processus qui utilise WebKit se ferme brutalement. Le correctif d’Apple consiste à vérifier plus rigoureusement les bornes de chaque case avant toute lecture ou écriture.
Comment mettre à jour
iPhone / iPad : Réglages > Général > Mise à jour logicielle
Mac : Réglages Système > Général > Mise à jour de logiciels
Safari : mis à jour automatiquement avec le système sur iOS et iPadOS ; séparément via Mise à jour de logiciels sur macOS Sonoma et Sequoia lorsque Apple publie une version Safari autonome pour ces systèmes.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a publié une série de correctifs pour iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Parmi les vulnérabilités corrigées figure CVE-2026-43722, une faille du noyau (Kernel) permettant à une application malveillante de divulguer un état sensible du noyau. Ce type de fuite d’information est particulièrement recherché par les attaquants car il constitue souvent la première étape d’une chaîne d’exploitation destinée à contourner les protections modernes du système (KASLR notamment) et à obtenir une élévation de privilèges.
Éléments impactés
iOS 26.5.2 : iPhone 11 et modèles ultérieurs
iPadOS 26.5.2 : iPad Pro 12,9 pouces (3ᵉ génération) et ultérieurs, iPad Pro 11 pouces (1ʳᵉ génération) et ultérieurs, iPad Air (3ᵉ génération) et ultérieurs, iPad (8ᵉ génération) et ultérieurs, iPad mini (5ᵉ génération) et ultérieurs
macOS Tahoe 26.5.2
Date de publication des correctifs : 29 juin 2026
Détail de la vulnérabilité
CVE-2026-43722 — Fuite d’état sensible du noyau
Publication : 2026-06-29 | Composant : Kernel
Impact officiel Apple (VO) : « An app may be able to leak sensitive kernel state ».
Traduction : « Une application peut être en mesure de divulguer un état sensible du noyau. »
Description officielle Apple (VO) : « The issue was addressed with improved input sanitization. »
Traduction : « Le problème a été corrigé par une meilleure assainissation des entrées. »
Gravité (CVSS) : Je ne sais pas. Le NIST n’a pas encore attribué de score CVSS à cette CVE au moment de la publication de ce bulletin. Aucun score officiel n’a été communiqué par Apple.
Chercheurs crédités par Apple : Feng Xue et XGPT de ThreatBook, Hyunwoo Kim (@v4bel).
Pourquoi cette faille compte
Les états internes du noyau (adresses mémoire, pointeurs, jetons de sécurité, structures de données internes) doivent rester hors de portée de l’espace utilisateur. Une fuite de ces données facilite le contournement de KASLR, la mécanique qui protège le noyau en rendant imprévisible l’emplacement de ses fonctions et structures en mémoire. Combinée à une seconde vulnérabilité (corruption mémoire, écriture arbitraire), une telle primitive peut permettre à un attaquant local — c’est-à-dire une application installée sur l’appareil — d’obtenir une élévation de privilèges ou d’échapper au bac à sable applicatif. Sur les plateformes Apple, ce type de primitive est prisé par les acteurs de la sécurité offensive et par les éditeurs de logiciels espions commerciaux.
Recommandations
Mettre à jour immédiatement vers iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 via Réglages > Général > Mise à jour logicielle (iPhone/iPad) ou Réglages Système > Général > Mise à jour de logiciels (Mac).
Éviter d’installer des applications provenant de sources non vérifiées (sideloading, canaux de distribution alternatifs) jusqu’à l’application du correctif.
Contrôler la liste des applications installées et supprimer celles dont l’origine ou l’usage est douteux.
Tableau des références
Titre de la page du support technique
URL officielle
Date de publication
About the security content of iOS 26.5.2 and iPadOS 26.5.2 — Apple Support
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé, dans sa vague de mises à jour de sécurité du 11 mai 2026, une vulnérabilité de confidentialité identifiée sous la référence CVE-2026-28906. Cette faille, présente dans plusieurs systèmes d’exploitation, permettait à un attaquant distant de pister un utilisateur en exploitant son adresse IP, en raison d’une gestion d’état défaillante. Le pistage par adresse IP est l’un des vecteurs d’atteinte à la vie privée qu’Apple combat activement, ce qui rend ce correctif particulièrement significatif pour l’ensemble de son écosystème.
Ce bulletin résume la nature du problème, les versions correctives, la portée de la vulnérabilité et les recommandations de mise à jour.
Description officielle Apple (traduction) : « Ce problème a été traité par une amélioration de la gestion d’état. Un attaquant pourrait être en mesure de pister les utilisateurs via leur adresse IP. »
Analyse : La vulnérabilité est classée sous CWE-359 (Exposition d’informations personnelles privées à un acteur non autorisé). Elle n’exige ni authentification, ni interaction de l’utilisateur, et peut être exploitée à distance sur le réseau. Concrètement, ce type d’anomalie survient lorsque des identifiants réseau ou des sessions ne sont pas correctement isolés ou réinitialisés entre différents contextes, laissant l’adresse IP réelle exposée à des tiers. Apple n’a pas publié le détail technique du mécanisme.
Gravité : Le score CVSS n’a pas encore été attribué par le NIST au moment de la publication (statut NVD : Received). Aucun code d’exploitation public (proof-of-concept) n’a été rendu disponible.
Portée : La correction couvre à la fois la branche de support étendu iOS 18 et la branche 26 (dernières versions majeures), signalant une portée transverse à l’ensemble des plateformes récentes d’Apple.
Recommandation : Installer sans délai la mise à jour correspondant à votre système. Sur iPhone et iPad, ouvrir Réglages > Général > Mise à jour logicielle. Sur Mac, ouvrir Réglages Système > Général > Mise à jour de logiciels. Sur Apple Vision Pro, ouvrir Réglages > Général > Mise à jour logicielle.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé une nouvelle vulnérabilité affectant la pile graphique de macOS, iOS et iPadOS. Publiée officiellement le 29 juin 2026, la faille CVE-2026-43743 concerne le composant IOGPUFamily, un module noyau chargé d’exposer les capacités du GPU aux applications. Une application malveillante déjà présente sur l’appareil pouvait exploiter une condition de course pour provoquer un arrêt inattendu du système (kernel panic).
Ce bulletin détaille la faille et les mises à jour correctives à installer sans délai.
Éléments impactés
macOS Tahoe : correction dans macOS Tahoe 26.5.2
iOS : correction dans iOS 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS : correction dans iPadOS 26.5.2 (iPad Pro 12,9″ 3e génération et ultérieurs, iPad Pro 11″ 1re génération et ultérieurs, iPad Air 3e génération et ultérieurs, iPad 8e génération et ultérieurs, iPad mini 5e génération et ultérieurs)
Date officielle de publication des correctifs : 29 juin 2026.
Impact officiel Apple : « An app may be able to cause unexpected system termination » (une application peut provoquer un arrêt inattendu du système).
Description officielle Apple : « A race condition was addressed with improved state handling » (une condition de course a été corrigée par une meilleure gestion d’état).
Classification CWE : CWE-362 — Concurrent Execution using Shared Resource with Improper Synchronization (« Race Condition »).
Analyse vulgarisée : IOGPUFamily est la famille de pilotes noyau qui permet aux applications de dialoguer avec le processeur graphique Apple. Une condition de course apparaît lorsque deux fils d’exécution accèdent simultanément à un même état partagé sans mécanisme de synchronisation suffisant. Le pilote pouvait alors se retrouver dans un état incohérent, ce qui provoquait l’arrêt inattendu du système (kernel panic). L’attaquant doit disposer d’une application locale déjà en cours d’exécution ; l’attaque distante n’est pas possible.
Score CVSS : 4.7 (MEDIUM) selon l’évaluation CISA-ADP publiée sur le NVD (vecteur CVSS 3.1 : AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H). Aucun score n’a encore été attribué par le NIST au moment de la rédaction.
Chercheurs crédités par Apple : Lyutoon, Dun.
Recommandation : installer sans délai macOS Tahoe 26.5.2, iOS 26.5.2 ou iPadOS 26.5.2 selon l’appareil. Sur les postes multi-utilisateurs, les fermes de build ou les environnements où des applications non fiables peuvent s’exécuter, la mise à jour est prioritaire.
Tableau des références
Titre de la page
URL officielle
Date de publication
About the security content of macOS Tahoe 26.5.2 – Apple Support
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a publié le 29 juin 2026 une nouvelle vague de correctifs pour Safari, iOS et iPadOS. Parmi la trentaine de failles corrigées, la vulnérabilité CVE-2026-43725 attire particulièrement l’attention : elle permet à un site web malveillant de traiter du contenu web restreint en dehors du bac à sable (sandbox) WebKit. En clair, une simple visite d’une page piégée peut suffire à contourner l’une des principales barrières de sécurité du navigateur. Ce bulletin explique en termes accessibles ce que cette faille change pour les utilisateurs et quelles versions installer.
Éléments impactés
Safari 26.5.2 sur macOS Sonoma et macOS Sequoia
iOS 26.5.2 — iPhone 11 et modèles ultérieurs
iPadOS 26.5.2 — iPad Pro 12,9 pouces (3ᵉ génération) et ultérieurs, iPad Pro 11 pouces (1ʳᵉ génération) et ultérieurs, iPad Air (3ᵉ génération) et ultérieurs, iPad (8ᵉ génération) et ultérieurs, iPad mini (5ᵉ génération) et ultérieurs
Date de publication des correctifs : 29 juin 2026 (source : support.apple.com).
Impact officiel Apple : « A malicious website may be able to process restricted web content outside the sandbox » (un site web malveillant peut être en mesure de traiter du contenu web restreint hors du bac à sable).
Description officielle Apple : le problème a été corrigé par une validation d’entrée améliorée (« The issue was addressed with improved input validation »).
Chercheur crédité : Luke Francis.
Référence WebKit Bugzilla : 312832.
Score CVSS : Je ne sais pas. Apple ne publie pas systématiquement un score CVSS dans ses bulletins de sécurité, et aucun score officiel n’est disponible dans la fiche support.apple.com au moment de la rédaction.
Exploitation active connue : Je ne sais pas. Apple ne mentionne pas d’exploitation active sur ces fiches.
Ce que cela signifie pour l’utilisateur
Le bac à sable (« sandbox ») est une zone isolée où Safari exécute le contenu des sites web. Il empêche un site de fouiller dans les fichiers de l’appareil ou dans les données d’autres onglets. Une évasion du bac à sable (« sandbox escape ») est donc l’un des scénarios les plus sérieux : elle peut, seule ou combinée à d’autres failles, devenir le premier maillon d’une chaîne d’exploitation menant à des privilèges plus élevés. Voilà pourquoi Apple traite ces failles comme prioritaires, même sans preuve d’exploitation active.
Recommandations
Installer les mises à jour immédiatement : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2 sur les appareils compatibles.
Vérifier les mises à jour automatiques :Réglages > Général > Mise à jour logicielle sur iPhone/iPad, ou Réglages système > Général > Mise à jour de logiciels sur Mac.
Redémarrer l’appareil après installation pour s’assurer que tous les composants WebKit sont bien rechargés.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a publié des correctifs pour deux vulnérabilités affectant Safari et les systèmes d’exploitation de l’écosystème Apple. Une vulnérabilité de contournement de mécanisme de sécurité web (CVE-2026-28907, CVSS 8.1 – HAUTE) et une fuite d’informations via cross-origin (CVE-2026-43700, CVSS 6.5 – MOYENNE) nécessitent une mise à jour prioritaire de votre système.
Éléments impactés
CVE-2026-28907 : Contournement de Content Security Policy dans Safari
Publication : 11 mai 2026
Systèmes affectés :
Safari 26.5
iOS 18.7.9 et 26.5
iPadOS 18.7.9 et 26.5
macOS Tahoe 26.5
tvOS 26.5
visionOS 26.5
watchOS 26.5
Gravité : CVSS 8.1 (élevée)
CVE-2026-43700 : Fuite d’informations via cross-origin dans WebKit
Publication : 29 juin 2026
Systèmes affectés :
Safari 26.5.2
iOS 26.5.2
iPadOS 26.5.2
macOS Tahoe 26.5.2
Gravité : CVSS 6.5 (moyenne)
Détails techniques
CVE-2026-28907 : Contournement de Content Security Policy
Description : Une validation d’entrée inadéquate dans le moteur de rendu web des produits Apple permet à un attaquant de créer du contenu web malveillant pour contourner ou désactiver les protections Content Security Policy (CSP). La CSP est un mécanisme de sécurité fondamental qui prévient les injections XSS et les attaques par injection de code.
Impact : En contournant la CSP, un attaquant peut exécuter du code JavaScript malveillant dans le contexte d’un site victime, donnant accès aux données sensibles, aux cookies de session, et permettant des opérations non autorisées au nom de l’utilisateur.
Recommandation : Mettre à jour Safari et tous les systèmes Apple vers les versions corrigées listées ci-dessus. Cette mise à jour ne peut pas être différée en raison du CVSS élevé (8.1).
CVE-2026-43700 : Fuite d’informations via cross-origin
Description : Une faille dans le suivi des origines (security origins) de WebKit permet à une page malveillante d’exploiter une vérification cross-origin insuffisante pour accéder à des données sensibles provenant d’un autre domaine. Cela contourne la politique de même-origine (Same-Origin Policy), un mécanisme fondamental de sécurité des navigateurs.
Impact : Un attaquant créant un site malveillant peut inciter un utilisateur à le visiter et ainsi extraire des informations confidentielles (données de compte, jetons de session, informations personnelles) provenant de sites tiers visités par l’utilisateur.
Apple a publié des correctifs le 29 juin 2026 pour corriger une vulnérabilité de gestion mémoire affectant Safari, iOS, iPadOS et macOS Tahoe. Cette faille, identifiée sous le numéro CVE-2026-43663, représente un risque modéré (CVSS 6.5) pour les utilisateurs Apple. Le traitement de contenu web malveillant peut entraîner un crash du navigateur ou du processus de rendu, ouvrant potentiellement la voie à une exécution de code arbitraire.
Les systèmes affectés incluent Safari, iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Les correctifs officiels sont disponibles depuis le 29 juin 2026.
Éléments impactés
Système/Navigateur
Version affectée
Version corrective
Date de publication
Safari
< 26.5.2
Safari 26.5.2
29 juin 2026
iOS
< 26.5.2
iOS 26.5.2
29 juin 2026
iPadOS
< 26.5.2
iPadOS 26.5.2
29 juin 2026
macOS Tahoe
< 26.5.2
macOS Tahoe 26.5.2
29 juin 2026
Analyse détaillée
CVE-2026-43663 : Faille de gestion mémoire dans WebKit
Identifiant : CVE-2026-43663
Score CVSS : 6.5 (Gravité MOYENNE)
Type de vecteur : Réseau / Interface utilisateur
Publication officielle : 29 juin 2026
Description officielle Apple : « Le traitement de contenu web conçu de manière malveillante peut entraîner un crash inattendu du processus. Le problème a été résolu par une meilleure gestion de la mémoire dans Safari 26.5.2, iOS 26.5.2, iPadAS 26.5.2 et macOS Tahoe 26.5.2. »
Contexte technique : Cette vulnérabilité affecte le moteur de rendu web WebKit, utilisé par Safari et les navigateurs embarqués dans les systèmes d’exploitation Apple. Elle combine deux faiblesses critiques : une restriction insuffisante des opérations aux limites de la mémoire tampon (CWE-119) et une utilisation de mémoire libérée (use-after-free, CWE-416).
Un attaquant peut exploiter cette chaîne de vulnérabilités en créant une page web contenant du contenu spécialement conçu qui, une fois traité par le navigateur, force l’accès à une zone mémoire déjà libérée.
Impact immédiat : Déni de service (crash du processus de rendu)
Impact potentiel : Cette classe de vulnérabilités représente un vecteur d’attaque classique vers l’exécution de code arbitraire, particulièrement sensible sur les appareils mobiles
Chercheurs ayant signalé la faille : Soyeon Park, Amy Burnett, Khai Tran, sherkito, Kota Toda, HexRabbit (@h3xr4bb1t) et NiNi (@terrynini38514) de DEVCORE Research Team ; Tristan Madani (@TristanInSec) de Talence Security ; Brian Carpenter.
Recommandations pour les utilisateurs
Mettre à jour immédiatement vers les versions correctives : Safari 26.5.2 ou ultérieur, iOS 26.5.2 ou ultérieur, iPadAS 26.5.2 ou ultérieur, macOS Tahoe 26.5.2 ou ultérieur
Vérifier les paramètres de mise à jour automatique pour s’assurer que les correctifs seront installés dès leur disponibilité
Redémarrer les appareils après l’installation des mises à jour pour appliquer les modifications de sécurité
Éviter la visite de sites web suspects ou non fiables en attendant la mise à jour, en particulier sur les appareils mobiles
Apple a corrigé une vulnérabilité critique de validation d’entrée dans le kernel affectant iOS, iPadOS et macOS Tahoe. La faille (CVE-2026-39868) permet à une application malveillante d’accéder localement au système pour corrompre la mémoire du kernel ou provoquer un arrêt inattendu du système. Les corrections ont été publiées le 29 juin 2026.
CVE détaillée : CVE-2026-39868
Identification
Identifiant : CVE-2026-39868
Date de publication : 29 juin 2026
Score CVSS : Non disponible
Vecteur d’exploitation : Local (application malveillante)
Impact : Escalade de privilèges, corruption d’intégrité système
Description officielle
La vulnérabilité réside dans une validation insuffisante des paramètres d’entrée au niveau du kernel Apple. Un développeur d’application malveillante peut exploiter cette faille pour accéder aux ressources système privilégiées sans autorisation de l’utilisateur.
Contenu officiel Apple : « This issue was addressed with improved input validation. This issue is fixed in iOS 26.5.2 and iPadOS 26.5.2, macOS Tahoe 26.5.2. An app may be able to cause unexpected system termination or corrupt kernel memory. »
Produits affectés et versions correctives
Système
Versions affectées
Correction
Date
iOS
< 26.5.2
iOS 26.5.2
29 juin 2026
iPadOS
< 26.5.2
iPadOS 26.5.2
29 juin 2026
macOS Tahoe
< 26.5.2
macOS Tahoe 26.5.2
29 juin 2026
Contexte de découverte
La vulnérabilité a été créditée à des chercheurs en sécurité de premier plan provenant de STAR Labs, Positive Technologies et Baidu Security, soulignant la complexité technique et l’importance critique de cette faille.
Bien que le vecteur d’exploitation soit local (installation d’une application requise), l’impact potentiel est sévère dans les environnements d’entreprise où le contrôle des applications constitue un enjeu critique.
Recommandations
Mise à jour immédiate : Tous les utilisateurs d’iOS, iPadOS et macOS Tahoe doivent mettre à jour vers les versions 26.5.2 dès réception de la notification Apple.
Contrôle des applications (entreprises) : Renforcer la politique d’installation d’applications pour limiter les risques d’exécution de code malveillant.
Surveillance des exploits : Vérifier la base de données CISA des vulnérabilités exploitées pour tout signe d’exploitation active.
Une nouvelle vulnérabilité affectant le kernel d’Apple a été corrigée dans les mises à jour iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Cette faille de haute gravité (CVSS 7.8) permet à une application malveillante d’effectuer des écritures en mémoire kernel, contournant les protections de sécurité du système. Aucune interaction utilisateur n’est requise pour exploiter cette faille.
Systèmes et produits impactés
La vulnérabilité CVE-2026-43724 affecte les appareils suivants en versions antérieures à :
iOS : versions antérieures à 26.5.2
iPadOS : versions antérieures à 26.5.2
macOS Tahoe : versions antérieures à 26.5.2
Les correctifs sont disponibles depuis le 29 juin 2026 pour tous ces systèmes.
Appareils affectés (iOS/iPadOS)
iPhone 11 et ultérieur
iPad Pro 12,9 pouces (3e génération et ultérieures)
iPad Pro 11 pouces (1ère génération et ultérieures)
iPad Air (3e génération et ultérieures)
iPad (8e génération et ultérieures)
iPad mini (5e génération et ultérieures)
Détails techniques
Publication : 29 juin 2026 | Composant : Kernel Apple
CVE-2026-43724 résulte d’une validation insuffisante des données d’entrée dans le kernel Apple. Une application non autorisée peut exploiter ce défaut pour effectuer des écritures en mémoire kernel, ou pour divulguer des états sensibles du kernel. Le problème a été résolu par une validation améliorée des entrées.
Cette vulnérabilité forme une primitive d’escalade de privilèges permettant aux attaquants de contourner les mécanismes de sécurité cœurs du système d’exploitation. Elle est particulièrement dangereuse car elle ne nécessite pas d’interaction utilisateur et peut être exploitée par une application standard.
Vecteur d’attaque
Vecteur : LOCAL
Complexité : FAIBLE
Privilèges requis : FAIBLES
Interaction utilisateur : AUCUNE
Impact confidentiel : ÉLEVÉ
Impact intégrité : ÉLEVÉ
Impact disponibilité : ÉLEVÉ
Recommandations
Action immédiate requise :
Vérifiez la version installée de votre appareil (Réglages > Général > Informations)
Installer immédiatement les mises à jour disponibles :iOS 26.5.2 ou ultérieur, iPadOS 26.5.2 ou ultérieur, macOS Tahoe 26.5.2 ou ultérieur
Redémarrez votre appareil après l’installation pour activer le correctif
Cette faille affecte des millions de dispositifs en production. Apple classe cette mise à jour parmi ses priorités de sécurité critiques.
Vous venez de générer trente captures d’écran pour un article, elles s’accumulent dans Documents, et la Corbeille commence à ressembler à un grenier oublié.
Vider la Corbeille depuis le Finder fonctionne, mais dès que vos fichiers sont profondément rangés dans une arborescence, cliquer devient laborieux.
Le Terminal offre une alternative précise, rapide et sans détour : la commande rm, pour remove.
Elle supprime le fichier immédiatement, sans passer par la Corbeille.
Cette efficacité est aussi son piège. Un rm mal formulé peut effacer en une fraction de seconde des documents impossibles à récupérer.
C’est exactement pour cette raison que rm existe en version prudente : rm -i.
Cette variante vous demande une confirmation avant chaque suppression, transformant une commande brute en outil professionnel maîtrisé.
Dans ce guide, nous allons apprendre à supprimer un fichier proprement, à activer les garde-fous adaptés, et à combiner rm avec d’autres commandes pour automatiser votre ménage numérique.
Anatomie d’une commande de suppression sous Unix
La commande rm fait partie du socle historique des utilitaires Unix.
Elle est présente sur macOS depuis les toutes premières versions du système et respecte la norme POSIX.
Son rôle est de retirer une entrée de fichier du système de fichiers.
La syntaxe générale telle qu’elle apparaît dans la man page officielle Apple est la suivante :
rm [-f | -i] [-dIRrvWx] fichier ...
Les crochets indiquent que les options sont facultatives.
Vous pouvez utiliser rm seul, ou l’accompagner d’un ou plusieurs indicateurs qui modifient son comportement.
Voici les options les plus utilisées au quotidien sur macOS, telles que définies dans la documentation Apple.
L’option -i demande une confirmation avant chaque suppression, quel que soit le fichier concerné.
L’option -f force la suppression sans confirmation, même pour les fichiers en lecture seule. Cette option annule tout -i placé avant elle.
L’option -I propose un compromis. Elle demande une seule confirmation quand plus de trois fichiers sont concernés, ou lorsqu’un dossier est supprimé récursivement.
L’option -R supprime récursivement un dossier et tout ce qu’il contient. Elle implique automatiquement l’option -d qui autorise la suppression des dossiers.
L’option -r est strictement équivalente à -R. Les deux minuscules et majuscules produisent le même résultat.
L’option -v active le mode verbeux. Chaque fichier est affiché au moment où il est supprimé.
L’option -d autorise la suppression d’un dossier vide sans mode récursif.
L’option -x empêche rm de traverser les points de montage. Utile lorsque vous manipulez un disque externe monté à l’intérieur d’un autre volume.
Un détail à connaître concerne l’option -P héritée de FreeBSD. Elle prétendait écraser les fichiers avant suppression, mais la man page macOS indique clairement que cette option n’a plus aucun effet et est conservée uniquement pour compatibilité rétroactive.
Trois scénarios concrets pour prendre rm en main
Prenons trois situations que tout utilisateur macOS rencontre tôt ou tard.
Scénario 1 : nettoyer un dossier de captures d’écran obsolètes.
Vous avez capturé une trentaine d’écrans sur votre MacBook Pro pour illustrer un article de blog, et vous voulez repartir sur une base propre.
Le Terminal affiche alors une question comme remove brouillon-final.pages?.
Vous tapez y pour confirmer, ou n pour annuler.
Cette microseconde de réflexion évite bien des drames.
Scénario 3 : vider récursivement un dossier temporaire.
Vous avez créé un dossier de tests avec plusieurs sous-dossiers et vous voulez tout effacer.
rm -r /Users/henrido/Documents/Test-2026/
Cette commande supprime le dossier Test-2026 ainsi que l’intégralité de son contenu.
Si vous voulez conserver un dernier filet de sécurité, ajoutez -i :
rm -ri /Users/henrido/Documents/Test-2026/
Le Terminal vous demandera alors une confirmation pour chaque élément traversé, dossier par dossier, fichier par fichier.
Sur une arborescence volumineuse, cette approche devient rapidement fastidieuse. C’est là qu’entre en scène l’option -I en majuscule.
Une variante moins connue : l’option -I et le pipe avec find
Beaucoup d’utilisateurs découvrent tardivement l’option -I en majuscule, qui apporte un équilibre intéressant entre sécurité et confort.
Contrairement à -i qui demande une confirmation par fichier, l’option -I ne pose qu’une seule question, et uniquement dans deux cas précis : lorsque vous demandez la suppression de plus de trois fichiers en une seule commande, ou lorsque vous supprimez récursivement un dossier.
Cette option est particulièrement utile dans les scripts que vous voulez exécuter en semi-automatique.
Exemple concret sur un iMac utilisé pour la retouche photo :
rm -IR /Users/henrido/Pictures/Import-Brut/
Le Terminal affichera une seule question du type examine files in directory Import-Brut? (y/n).
Répondez y et la totalité disparaît sans nouvelle interruption.
Autre combinaison très puissante : rm chaîné avec la commande find via un pipe.
Cette approche permet de cibler des fichiers selon des critères précis, comme leur ancienneté ou leur extension.
Imaginons que vous souhaitiez supprimer tous les fichiers .DS_Store présents dans votre dossier Documents :
find /Users/henrido/Documents -name ".DS_Store" -type f -delete
Ici, find se charge à la fois de la recherche et de la suppression grâce à son option -delete.
Si vous préférez utiliser rm explicitement pour garder un contrôle plus lisible, la formulation suivante fonctionne aussi :
L’option -v de rm affichera chaque fichier supprimé, ce qui vous permet de vérifier visuellement le résultat.
Attention à un point crucial. La commande rm ne passe jamais par la Corbeille macOS.
Contrairement au raccourci Command-Suppression du Finder, il n’existe aucun moyen de restaurer un fichier supprimé avec rm depuis l’interface graphique.
Une seule solution : disposer d’une sauvegarde Time Machine à jour ou d’une copie sur un service cloud comme iCloud Drive.
Le réflexe à installer une fois pour toutes
La commande rm est un couteau à double tranchant.
Elle brille par sa rapidité et sa précision, mais elle ne pardonne aucune erreur de saisie.
L’astuce la plus utile pour un utilisateur macOS soucieux de sa sérénité consiste à créer un alias permanent dans son fichier de configuration shell, pour que rm demande systématiquement une confirmation.
Cette approche sera l’objet d’un futur article dédié à la commande alias.
En attendant, prenez l’habitude de taper rm -i par défaut sur vos fichiers importants, et rm -I sur les opérations récursives.
Testez toujours vos commandes rm dans un dossier de test avant de les appliquer à vos données personnelles.
Le Terminal récompense la prudence par une efficacité redoutable, mais il ne fait aucun cadeau à la précipitation.
Vous avez une question, une idée ou une remarque ? Je serai ravi de vous lire ! ✉️ henrido@hdrapin.com
