Le 24 juillet 2026, Apple a publié une mise à jour silencieuse de son moteur anti-malware intégré XProtect, portant la base de règles à la version 5352. Cette diffusion couvre toutes les versions de macOS encore supportées, de macOS Sequoia jusqu’à macOS Tahoe et macOS Golden Gate.
Apple ne communique pas publiquement le détail des menaces adressées, mais l’analyse de la base YARA embarquée, rendue publique par Howard Oakley sur The Eclectic Light Company, permet d’identifier les évolutions concrètes de cette mise à jour.
Éléments impactés
Composant : XProtect (moteur de signatures anti-malware intégré à macOS)
Version de règles : 5352
Date de publication : 24 juillet 2026
Systèmes concernés : toutes les versions de macOS supportées
Diffusion : automatique via les mécanismes de mise à jour d’Apple ; sur Sequoia, Tahoe et Golden Gate, la propagation se fait aussi via iCloud
Détails
Article — Apple has released an update to XProtect for all macOS
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-24
Résumé factuel repris de l’article : la mise à jour XProtect 5352 introduit deux nouvelles règles YARA visant les familles MACOS.BOATLOAD.REWA et MACOS.BOATLOAD.REFU. Fait plus inhabituel, elle retire les règles concernant MACOS.DUBROBBER.D et MACOS.DUBROBBER.E, et amende la règle relative à MACOS.SOMA.D. Le fichier XPScripts.yr, dédié aux règles Osascript, n’est pas modifié.
Gravité : évaluation officielle non communiquée par Apple. Il ne s’agit pas d’un correctif de vulnérabilité (CVE), mais d’une mise à jour de signatures qui renforce la détection de malwares actifs et retire d’anciennes signatures devenues obsolètes ou redondantes.
Recommandations :
Vérifier que la version 5352 est bien installée sur les Mac administrés, via À propos de ce Mac puis Rapport système > Installations, ou avec SilentKnight/SystHist pour un inventaire précis.
Sur macOS Sequoia, Tahoe et Golden Gate, forcer la vérification en Terminal avec sudo xprotect check et, si besoin, sudo xprotect update.
Sur les versions antérieures, si SilentKnight signale une désynchronisation, forcer l’installation via l’identifiant de mise à jour XProtectPlistConfigData_10_15-5352.
Rester attentif aux publications ultérieures d’Apple : le retrait des règles DUBROBBER.D/E reste inexpliqué à ce stade et pourrait indiquer soit une consolidation dans une autre règle, soit une réévaluation du risque.
Tableau des références
Titre de la page du support technique
URL officielle
Date de publication
Apple has released an update to XProtect for all macOS (The Eclectic Light Company, Howard Oakley)
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 2 juillet 2026, l’équipe Jamf Threat Labs, sous la plume du chercheur Thijs Xhaflaire, a publié une analyse détaillée d’un nouveau voleur d’informations (« infostealer ») pour macOS baptisé PamStealer. Ce logiciel malveillant se dissimule sous l’apparence de Maccy, un gestionnaire de presse-papiers open source populaire, et cible spécifiquement les Mac équipés d’une puce Apple Silicon. Son mode opératoire présente deux particularités qui méritent l’attention : d’une part, une chaîne d’exécution en deux étapes qui combine un AppleScript compilé (.scpt) et une charge finale écrite en Rust ; d’autre part, une validation locale du mot de passe utilisateur via l’API PAM (Pluggable Authentication Modules) de macOS, avant exfiltration.
Ce bulletin s’inscrit dans la continuité de la veille sur les infostealers macOS. Il ne s’agit pas d’une vulnérabilité au sens strict, mais d’une campagne active exploitant l’ingénierie sociale et un contournement discret des protections système. Pour les utilisateurs de Mac, le message est clair : télécharger Maccy uniquement depuis le site officiel maccy.app et se méfier des sites imitant les marques d’outils légitimes.
Éléments impactés
Système visé : macOS, uniquement sur Apple Silicon (M1, M2, M3, M4 et M5). Les Mac Intel sont épargnés par cette variante en raison d’un contrôle d’empreinte matérielle.
Application usurpée : Maccy (maccy.app), gestionnaire de presse-papiers open source légitime développé par Alex Rodionov.
Domaines malveillants identifiés par Jamf : maccyapp[.]com et maccyapp[.]net.
Données ciblées : mots de passe stockés dans les navigateurs, cookies, données d’extensions de portefeuilles de cryptomonnaies, éléments du trousseau iCloud et contenu du presse-papiers.
Mesure officielle : le développeur de Maccy a publié un avertissement sur son site officiel et son dépôt GitHub.
La victime est attirée vers un site imitant Maccy (maccyapp[.]com ou maccyapp[.]net) et télécharge une image-disque contenant un fichier AppleScript compilé nommé Maccy.scpt.
L’utilisateur est invité à ouvrir le fichier avec Script Editor puis à exécuter le script via le raccourci Cmd + R ou en cliquant sur « Run ». Ce mode d’exécution reste opérationnel même lorsque le fichier porte encore l’attribut com.apple.quarantine, ce qui rend l’approche particulièrement attractive alors qu’Apple renforce régulièrement Gatekeeper et Terminal.
Le script exécute un JXA (JavaScript for Automation) intégré qui télécharge et installe la charge suivante en s’appuyant sur des API Objective-C natives.
Le dropper effectue une empreinte de l’hôte (architecture CPU, langue, disposition du clavier, fuseau horaire). Cette empreinte sert à dériver une clé qui déchiffre une configuration contenant l’URL de la charge et le chemin d’installation. Sur Mac Intel, la clé dérivée est différente et le déchiffrement échoue, ce qui termine l’exécution.
Le script évite également les environnements sandboxés ou d’analyse, ainsi que les systèmes dont le fuseau horaire, la langue et la disposition clavier correspondent à des pays d’Europe de l’Est (Russie, Biélorussie, Kazakhstan, Arménie, Azerbaïdjan, Kirghizistan, Moldavie, Tadjikistan, Ouzbékistan, Turkménistan, Géorgie).
Une fois les vérifications passées, un binaire Mach-O écrit en Rust est téléchargé. Il se déguise sous l’apparence de l’application Finder et prend en charge la collecte de données : navigateurs, extensions de portefeuilles de cryptomonnaies, trousseau iCloud, contenu du presse-papiers.
Le voleur affiche une invite native de mot de passe demandant le mot de passe système. Le mot de passe saisi est validé localement via l’API PAM : si la validation échoue, l’invite est réaffichée jusqu’à saisie correcte.
Une fois un mot de passe valide capturé, un second message factice, imitant l’alerte Gatekeeper (« Maccy is damaged and can’t be opened. You should move it to the Trash »), est affiché. Il s’agit d’un leurre : la charge a déjà été exécutée, le mot de passe capturé et la persistance mise en place.
La persistance est assurée par un petit binaire Mach-O arm64 embarqué, qui imite l’apparence de Réglages Système.
Les données collectées sont chiffrées puis exfiltrées vers avenger-sync[.]live par une requête HTTP sortante.
Gravité
Jamf Threat Labs ne publie pas de score CVSS pour cette campagne. L’équipe qualifie cependant PamStealer d’illustration d’une évolution des stealers macOS courants vers des chaînes d’exécution plus discrètes et des implémentations natives qui réduisent les opportunités de détection classiques tout en restant compatibles avec les mécanismes standard de macOS.
Recommandations
Ne télécharger Maccy que depuis le site officiel maccy.app ou depuis le dépôt GitHub officiel du projet.
Ne jamais exécuter un script AppleScript (.scpt) reçu par un canal non vérifié, même s’il semble anodin dans Script Editor : le contenu malveillant peut être caché après plusieurs pages de lignes vides.
Se méfier des sites qui imitent visuellement des marques légitimes (maccyapp[.]com, maccyapp[.]net) : seul maccy.app est le site officiel.
Ne pas saisir son mot de passe système en réponse à une invite déclenchée par une application dont l’origine n’est pas certaine.
Maintenir macOS et les protections XProtect à jour via Mise à jour de logiciels.
Sur un Mac Apple Silicon, considérer que l’absence d’exécution sur Intel ne signifie pas absence de risque : cette variante est spécifiquement optimisée pour Apple Silicon.
Références
Titre de la page
URL officielle
Date de publication
PamStealer: macOS Malware Posing as Clipboard Manager App
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé, dans les mises à jour publiées le 29 juin 2026, une vulnérabilité mémoire affectant le composant WebRTC de WebKit, le moteur de rendu web utilisé par Safari et intégré au niveau système sur les plateformes Apple. Identifiée sous la référence CVE-2026-43746, cette faille peut, à partir d’un simple contenu web piégé, provoquer l’arrêt inattendu de Safari. Pour tout utilisateur de Safari, iOS, iPadOS ou macOS Tahoe, l’application des correctifs Safari 26.5.2, iOS/iPadOS 26.5.2 et macOS Tahoe 26.5.2 est fortement recommandée.
Éléments impactés
Safari : versions antérieures à 26.5.2 — corrigé dans Safari 26.5.2
iOS et iPadOS : versions antérieures à 26.5.2 — corrigé dans iOS 26.5.2 et iPadOS 26.5.2
macOS Tahoe : versions 26.0 à 26.5.2 (exclus) — corrigé dans macOS Tahoe 26.5.2
Date de publication du correctif : 29 juin 2026
Détails
CVE-2026-43746 — Use-after-free dans WebRTC (WebKit)
Description officielle Apple / NVD : « A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.5.2, iOS 26.5.2 and iPadOS 26.5.2, macOS Tahoe 26.5.2. Processing maliciously crafted web content may lead to an unexpected Safari crash. »
Explication vulgarisée : Il s’agit d’un défaut de type « use-after-free » (CWE-416). Ce type de bug survient lorsqu’un programme continue d’utiliser un pointeur vers une zone mémoire qui a déjà été libérée. Dans ce cas précis, un site web malveillant peut fabriquer un contenu spécifique qui déclenche la libération prématurée d’un objet WebRTC toujours référencé. Le résultat immédiat observé est un crash de Safari.
Gravité : Score CVSS 3.1 attribué par CISA-ADP : 6.5 (MEDIUM) — vecteur AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. L’attaque est réalisable à distance via le réseau (AV:N), de faible complexité (AC:L), sans privilège requis (PR:N), mais nécessite une interaction utilisateur — typiquement la visite d’une page web (UI:R). L’impact direct porte sur la disponibilité (A:H), avec un crash du processus Safari.
Portée réelle : Historiquement, les failles use-after-free dans WebKit peuvent, lorsqu’elles sont chaînées à d’autres primitives, devenir des vecteurs d’exécution de code arbitraire. La mise à jour vers les versions corrigées est donc à traiter comme prioritaire, même si l’impact directement documenté reste un déni de service côté client.
Attribution : Correctif référencé par Apple sous le composant « WebRTC » (WebKit Bugzilla 314090), attribué à dr3dd.
Recommandations
Installer sans délai Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 selon les appareils utilisés.
Sur les appareils gérés en flotte, vérifier la conformité du parc via MDM et forcer la mise à niveau si besoin.
Éviter, en attendant la mise à jour, la navigation sur des sites non maîtrisés depuis un appareil vulnérable.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Depuis WWDC 2026, les mises à jour de XProtect et XPR se sont tues. Apple déploie en parallèle deux architectures de protection, introduit l’outil xprotect en ligne de commande et prépare « Golden Gate », un modèle de sécurité natif Apple Silicon. Ce que les notes de version « sans CVE » ne disent pas.
Votre Mac n’a pas reçu de nouvelle signature de malware depuis le 2 juin. L’outil de remédiation XPR, lui, n’a pas bougé depuis le 17 février cent quarante-deux jours d’immobilité, un record historique. Pourtant, aucune alerte n’a été émise, aucun communiqué n’a été publié. Si vous ouvrez l’utilitaire softwareupdate, tout paraît normal. Mais sous le capot, Apple a silencieusement basculé vers une architecture duale de protection, gérée par un nouvel outil en ligne de commande nommé xprotect, qui télécharge ses règles depuis iCloud via un helper privilégié authentifié par la Secure Enclave. Bienvenue dans l’ère « Golden Gate ».
Le silence qui en dit long
Depuis des années, le rythme était métronomique : XProtect (les règles Yara de détection) s’actualisait chaque semaine, XPR (le scanner de remédiation) toutes les quatre à dix-huit semaines. C’était prévisible, documenté, rassurant. Puis, mi-juin 2026, juste après la WWDC, le métronome s’est arrêté. La version 5347 de XProtect, publiée le 2 juin, est restée la dernière en date pendant plus de cinq semaines. Côté XPR, la version 157 du 17 février n’a toujours pas de successeur, pulvérisant le précédent record d’intervalle.
Howard Oakley, sur Eclectic Light Company, a été le premier à pointer cette anomalie le 10 juillet. Ses relevés montrent que les mises à jour XProtect, hebdomadaires depuis dix-huit mois, n’ont été perturbées que par les périodes de fêtes. L’intervalle actuel égale le pire creux de Noël. Quant à XPR, ses 142 jours d’inactivité dépassent largement sa fourchette historique de 30 à 126 jours. Ce n’est pas un oubli : c’est une rupture.
Parallèlement, Apple a publié macOS Tahoe 26.5.1 et iOS 26.5.1 le 1er juin, estampillés « This update has no published CVE entries ». La même mention accompagne les mises à jour 15.7.7 pour macOS Sequoia et 14.8.7 pour macOS Sonoma. En langage clair : ce ne sont pas des correctifs de vulnérabilités connues. Ce sont des changements d’architecture déployés sous couvert de « mises à jour de sécurité sans CVE ».
Deux XProtect, deux canaux, une même machine
Depuis macOS Sequoia (15), votre Mac héberge non plus un mais deux bundles XProtect distincts. Le premier, historique, siège dans /Library/Apple/System/Library/CoreServices/XProtect.bundle et continue d’être mis à jour via le démon softwareupdated — le canal classique des mises à jour système. Le second, nouveau et désormais préféré, occupe un emplacement parallèle géré par l’outil xprotect en ligne de commande et son compagnon privilégié, XProtectRemediatorHelper.
Ce helper s’exécute dans un contexte hautement privilégié, authentifié par la Secure Enclave, et établit une connexion TLS mutuelle vers les serveurs de distribution iCloud pas vers le CDN public d’Apple. La différence est fondamentale : l’ancien canal pousse des mises à jour groupées (batch) selon le calendrier de softwareupdated ; le nouveau permet une distribution continue (push), découplée du cycle de mise à jour du système d’exploitation.
La page de manuel man xprotect, introduite avec macOS Sequoia et Tahoe, documente trois sous-commandes : xprotect status pour inspecter l’état des deux bundles, xprotect update pour forcer une actualisation manuelle du nouveau bundle, et xprotect scan pour lancer un scan à la demande. C’est la première fois qu’Apple expose un outil d’administration de sa protection anti-malware aux administrateurs et utilisateurs avertis.
Pourquoi cette dualité ?
L’architecture historique XProtect/MRT/XPR repose sur un modèle hérité de l’ère Intel : détection par signatures (Yara), remédiation par suppression de fichiers connus, le tout orchestré depuis l’espace utilisateur avec des privilèges élevés. Ce modèle a montré ses limites face aux attaques « ClickFix » qui prolifèrent en 2026 : l’utilisateur est manipulé pour exécuter lui-même un AppleScript malveillant (souvent via Command-R dans un faux terminal), contournant ainsi toute détection de binaire. XProtect ne voit rien, car aucun fichier malveillant n’est écrit sur le disque avant exécution.
La réponse d’Apple ne peut pas être une énième règle Yara. Elle nécessite un changement de paradigme : passer de la détection périodique de fichiers à une vérification continue du comportement, ancrée dans le matériel. C’est là qu’intervient « Golden Gate » le nom de code interne évoqué par Oakley pour désigner la refonte du modèle de sécurité pour Apple Silicon complet.
Golden Gate : le noyau dur de la sécurité Apple Silicon
Le nom de code « Golden Gate » n’apparaît dans aucune documentation publique. Il émerge des observations croisées : l’arrêt simultané des deux canaux de mise à jour, l’introduction de l’outil xprotect avec son helper sécurisé par Secure Enclave, la distribution via iCloud avec TLS mutuel, et les mises à jour « sans CVE » qui modifient l’infrastructure sans corriger de faille référencée.
L’hypothèse technique la plus solide : Golden Gate exploite les primitives matérielles exclusives aux puces Apple Silicon Secure Enclave, démarrage vérifié, mémoire unifiée, extensions de noyau signées Apple pour remplacer le triptyque Gatekeeper + signature de code + SIP (héritage Intel) par un modèle « zero-trust » où chaque exécution de binaire peut déclencher une vérification cloud (avec cache local chiffré). Le containment matériel (isolation via Virtualization Framework + Secure Enclave) remplacerait la détection logicielle pure. XPR serait progressivement remplacé par un « SecurityKit » étendant EndpointSecurity pour les EDR tiers, tandis que les MDM géreraient des « modèles de menace » au lieu de listes blanches/noires.
Ce n’est pas une spéculation gratuite : la documentation développeur XProtect Framework (https://developer.apple.com/documentation/security/xprotect) décrit déjà des API pour l’inspection de code en temps réel, et l’outil xprotect en ligne de commande préfigure l’interface d’administration de ce nouveau modèle.
Ce que cela change pour vous, aujourd’hui
Concrètement, sur un Mac sous macOS Sequoia 15 ou Tahoe 26, vous disposez de deux moteurs de protection actifs. L’ancien continue de recevoir des règles Yara via softwareupdate (quand elles reprennent). Le nouveau, plus réactif, tire ses règles d’iCloud via XProtectRemediatorHelper. Vous pouvez vérifier leur état à tout moment :
`bash xprotect status `
La sortie affiche la version, la date et la source de chaque bundle. Si le nouveau bundle semble périmé, xprotect update force une synchronisation immédiate depuis iCloud. Un xprotect scan ~/Downloads lance un audit à la demande sur un dossier suspect une fonctionnalité inédite pour l’utilisateur final.
Pour les administrateurs de parcs, la dualité impose une vigilance accrue : les profils de configuration MDM qui gèrent les mises à jour de sécurité via softwareupdated ne couvrent plus le nouveau canal. Il faut s’assurer que le trafic vers les serveurs de distribution iCloud (ports 443, TLS mutuel, certificats ancrés dans la Secure Enclave) n’est pas bloqué par un pare-feu d’entreprise mal configuré.
Tableau comparatif : ancien vs nouveau canal XProtect
| Caractéristique | Canal historique (softwareupdated) | Nouveau canal (xprotect + iCloud) | |—————-|————————————–|————————————-| | Emplacement du bundle | /Library/Apple/System/Library/CoreServices/XProtect.bundle | Emplacement parallèle géré par xprotect | | Déclencheur de mise à jour | Calendrier softwareupdated (batch hebdomadaire) | Push continu depuis serveurs iCloud | | Authentification | Certificats Apple standard | TLS mutuel + Secure Enclave | | Outil d’administration | softwareupdate (système) | xprotect (CLI utilisateur/admin) | | Visibilité utilisateur | Aucune (opaque) | xprotect status, xprotect scan | | Résilience aux attaques ClickFix | Faible (signatures statiques) | Potentiellement meilleure (vérif. continue) | | Documentation publique | Notes de mise à jour macOS | man xprotect, page développeur XProtect Framework |
Ce qu’il faut surveiller dans les mois qui viennent
1. Reprise des mises à jour XPR : si le délai dépasse 180 jours sans nouvelle version, cela confirmera l’abandon progressif de l’architecture XPR au profit du modèle Golden Gate. 2. Documentation officielle de xprotect : l’apparition d’une page de support Apple (HTxxxx) dédiée à l’outil CLI signalerait la fin de la phase expérimentale. 3. Extensions EndpointSecurity : les éditeurs EDR tiers (Jamf, Kandji, SentinelOne, CrowdStrike) devront migrer vers les nouvelles API « SecurityKit » si Golden Gate se concrétise. 4. Mises à jour « sans CVE » : chaque occurrence de cette mention dans les notes de version macOS/iOS marquera probablement une brique supplémentaire de l’infrastructure Golden Gate.
En résumé : ce qu’il faut retenir et faire
1. Vérifiez l’état de vos deux XProtect avec xprotect status c’est gratuit, instantané, et ça révèle si le nouveau canal fonctionne. 2. Autorisez le trafic iCloud/TLS mutuel sur vos pare-feux d’entreprise — sans lui, le nouveau canal de protection est coupé. 3. Testez xprotect scan sur les dossiers à risque (Téléchargements, pièces jointes mail) c’est le premier scanner à la demande natif macOS. 4. Suivez les notes de version « sans CVE » elles sont le signal faible en apparence, fortes en réalité architecturale. 5. Anticipez la fin de XPR — si votre stratégie de sécurité repose sur les moteurs de remédiation actuels, préparez la migration vers les API EndpointSecurity étendues.
La protection anti-malware sur Mac ne s’est pas arrêtée : elle a muté. Le silence des mises à jour n’est pas une panne, c’est le bruit d’un changement de moteur en plein vol. Apple ne répare pas une vulnérabilité elle reconstruit la forteresse autour du silicium qu’elle contrôle. C’est ce que « Golden Gate » promet : une sécurité qui ne dépend plus de la fréquence des signatures, mais de la physique de la puce.
Sources
1. Howard Oakley, « Is malware protection changing? », Eclectic Light Company, 10 juillet 2026 — https://eclecticlight.co/2026/07/10/is-malware-protection-changing/ 2. Apple Support, « Apple security releases », HT201222 — entrées macOS Tahoe 26.5.1, iOS 26.5.1, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 (« This update has no published CVE entries ») — https://support.apple.com/en-us/100100 3. Apple Developer, man xprotect (page de manuel macOS Sequoia/Tahoe) — documentation de l’outil CLI xprotect status, xprotect update, xprotect scan 4. Apple Developer Documentation, XProtect Framework — https://developer.apple.com/documentation/security/xprotect
Versions et matériels concernés : macOS Sequoia 15.x, macOS Tahoe 26.x, Mac à puce Apple Silicon (M1 à M5), Secure Enclave requise pour le helper XProtectRemediatorHelper.
Deux évènements marquants de la veille sécurité Apple rythment ce bulletin du 16 juillet 2026. D’un côté, les chercheurs de Jamf Threat Labs ont publié le 13 juillet 2026 une analyse détaillée d’un voleur d’informations (« infostealer ») inédit pour macOS, baptisé CrashStealer, qui usurpe l’apparence de l’outil de rapport d’erreurs d’Apple pour dérober trousseaux, mots de passe et portefeuilles de cryptomonnaies.
De l’autre, l’expert reconnu Howard Oakley, sur The Eclectic Light Company, a documenté le 15 juillet 2026 la sortie de la mise à jour XProtect 5351, la première depuis le 2 juin — un intervalle inhabituellement long qui prend fin avec l’ajout de six nouvelles règles Yara, dont plusieurs visent la famille de « stealers » Boatload.
Ces deux annonces se lisent conjointement : XProtect, la protection anti-malware intégrée à macOS, se remet en marche au moment même où une nouvelle famille de voleurs d’identifiants passe en phase active. Le message pour l’utilisateur est simple : vérifier que sa protection est à jour, et adopter des réflexes de vigilance renforcés face aux images-disque (DMG) reçues par des canaux inhabituels.
Éléments impactés
Systèmes concernés par CrashStealer : macOS (tous systèmes actuellement supportés, la mécanique de persistance et de vol s’appuyant sur des API standard macOS).
Composant de protection concerné par la mise à jour : XProtect, la brique anti-malware intégrée à macOS (fichier de signatures Yara).
Version corrective XProtect publiée : 5351 (précédente : 5347, datée du 2 juin 2026).
Date de publication observée par l’analyste : 2026-07-15.
Livraison : automatique via Mise à jour de Logiciels et via iCloud sur macOS Sequoia, macOS Tahoe et macOS Golden Gate.
Les chercheurs de Jamf ont d’abord détecté CrashStealer en mai 2026, à l’état de développement ; les premières détections « en conditions réelles » remontent à début juillet 2026, marquant son passage à un usage actif par des attaquants.
Chaîne d’infection observée :
L’attaque débute par une image-disque (DMG) nommée « Werkbit Setup », hébergée sur le domaine werkbit[.]io. L’accès au téléchargement est protégé par un code de type « code de réunion », ce qui limite la diffusion aux victimes déjà ciblées.
Le DMG contient une application unique, Werkbit.app, dont l’exécutable interne se nomme veltod. Fait notable, le DMG lui-même est signé, en plus de l’application qu’il contient — pratique inhabituelle dans les campagnes malveillantes.
La signature utilise l’identifiant développeur « Emil Grigorov (WWB7JA7AQV) » et embarque un ticket de notarisation valide. Cette combinaison permet de passer sans blocage la validation initiale de Gatekeeper, la protection macOS contre les logiciels non fiables. Jamf indique avoir signalé ce Team ID à Apple.
Une fois lancé, veltod contacte un dépôt GitHub, télécharge un script qui à son tour récupère l’archive CrashReporter.dmg. Cette dernière contient la charge finale, copiée dans un dossier caché, dont le nom, l’icône et l’identifiant de bundle imitent le composant Apple CrashReporter.
Le programme affiche alors une fausse fenêtre de mot de passe qui reproduit l’apparence d’une invite système. Il valide localement l’authentification via la commande macOS dscl avant de poursuivre.
Une fois le mot de passe obtenu, CrashStealer déverrouille le trousseau (Keychain) et exfiltre ses données, puis collecte les profils de navigateurs Chromium (Chrome, Edge, Brave…) et les identifiants Firefox, les données d’environ 80 extensions de portefeuilles de cryptomonnaies (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus…), les stockages de 14 gestionnaires de mots de passe (1Password, Bitwarden, LastPass, Dashlane, Keeper…) et une sélection de fichiers dans les dossiers Documents, Téléchargements.
Les fichiers collectés sont chiffrés individuellement en AES-256-GCM, regroupés dans des archives ZIP masquées, puis exfiltrés vers un serveur de commande via la bibliothèque réseau libcurl.
La persistance est assurée par une copie du binaire réappliquée avec une signature ad hoc, installée comme LaunchAgent sous le nom com.apple.crashreporter.helper, ce qui déclenche le lancement à chaque ouverture de session utilisateur.
Signature technique distinctive : CrashStealer est écrit en C++ natif (autour d’une classe interne nommée MacOSData), alors que la plupart des stealers commodités de l’écosystème macOS reposent sur des scripts AppleScript ou des enveloppes Objective-C minces. Il embarque également des techniques anti-analyse : aplatissement du flot de contrôle, chiffrement des chaînes de caractères, et détection de débogueur en plusieurs points du démarrage.
Gravité : Jamf ne publie pas de score CVSS pour cette menace (Je ne sais pas.). La combinaison signature Developer ID valide + notarisation + ciblage de trousseau et portefeuilles cryptos en fait néanmoins une menace de premier plan pour tout utilisateur qui manipule des cryptomonnaies, des mots de passe sensibles ou des identifiants professionnels.
Recommandations :
Ne jamais monter et exécuter un fichier .dmg reçu par un canal inhabituel (invitation de « réunion » avec un code de téléchargement, lien inattendu, fichier partagé sans contexte).
Se méfier de toute invite de mot de passe apparaissant hors du contexte système habituel, en particulier si elle est demandée par un installeur récent.
Vérifier périodiquement les LaunchAgents installés (dossier ~/Library/LaunchAgents/) et supprimer toute entrée suspecte, notamment com.apple.crashreporter.helper — le vrai composant Apple ne porte pas ce nom.
Consulter le rapport Jamf pour la liste complète des indicateurs de compromission (IOC), hashes de fichiers, noms de domaines et artefacts laissés sur disque.
Article 2 — Eclectic Light Company : mise à jour XProtect 5351
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-15
Après une pause de 43 jours depuis la version 5347 publiée le 2 juin 2026, Apple a publié le 15 juillet 2026 la mise à jour XProtect 5351. Comme à son habitude, Apple ne détaille pas publiquement les problèmes de sécurité couverts par cette mise à jour. L’analyse indépendante du fichier de règles Yara publiée par Howard Oakley révèle néanmoins :
Six nouvelles règles Yara ajoutées pour les familles : MACOS.ANGRYORB.OX, MACOS.BOATLOAD.STCRST, MACOS.BOATLOAD.PRIN, MACOS.BOATLOAD.PEME, MACOS.VSHELL.DITA, MACOS.VSHELL.DR.
Une modification des règles existantes pour MACOS.MISOMAGIC.PA.
Un ajustement d’espacement pour MACOS.SOMA.STTX.
Concernant le fichier XPScripts.yr (règles pour scripts osascript, souvent utilisés par les attaques par ingénierie sociale) : 14 nouvelles règles, plus des amendements pour MACOS.OSASCRIPT.TIPA, MACOS.OSASCRIPT.SYPR, MACOS.OSASCRIPT.TADE et MACOS.OSASCRIPT.REOB.
Howard Oakley note que la famille Boatload, à en juger par la structure des règles Yara ajoutées, correspond très vraisemblablement à un voleur d’informations (« stealer »). Cette observation entre en résonance directe avec l’analyse Jamf publiée deux jours plus tôt sur CrashStealer, sans qu’un lien formel puisse être établi à ce stade (Je ne sais pas.).
Vérification et forçage de la mise à jour :
Ouvrir Informations Système via À propos de ce Mac, puis rubrique Logiciels > Installations pour retrouver la trace de XProtectPlistConfigData_10_15-5351.
Sur macOS Sequoia, Tahoe et Golden Gate, la commande Terminal sudo xprotect check (puis mot de passe administrateur) affiche la version installée ; sudo xprotect update force le rafraîchissement si nécessaire.
L’utilitaire tiers SilentKnight (Howard Oakley) permet également de forcer l’installation via son étiquette dédiée XProtectPlistConfigData_10_15-5351.
Gravité : Apple ne publie pas d’évaluation officielle de sévérité pour les mises à jour XProtect (Je ne sais pas.). L’ajout de règles Yara actives et l’intervalle inhabituellement long depuis la précédente mise à jour justifient toutefois une installation rapide.
Vulgarisation
XProtect est le module de protection anti-malware intégré à macOS. Il fonctionne comme un antivirus « silencieux » qui vérifie chaque application avant son premier lancement à la recherche de signatures de menaces connues. Ces signatures prennent la forme de « règles Yara », un langage standardisé pour décrire les caractéristiques d’un fichier malveillant. Apple met à jour ces règles en arrière-plan sans notification à l’utilisateur — d’où l’utilité d’outils comme SilentKnight ou de la commande sudo xprotect check pour vérifier ce qui est réellement en place.
Un infostealer est un logiciel malveillant conçu pour dérober des informations sensibles : mots de passe stockés dans le navigateur, contenu du trousseau macOS, clés privées de portefeuilles de cryptomonnaies, cookies de session. Contrairement à un rançongiciel qui bloque l’accès aux données, l’infostealer opère discrètement et exfiltre son butin vers un serveur contrôlé par les attaquants.
La particularité de CrashStealer est qu’il passe la validation Gatekeeper : il est signé avec un identifiant développeur Apple et bénéficie d’un ticket de notarisation valide. Cela signifie qu’Apple a délivré, dans un premier temps, une autorisation formelle à cet éditeur, sans savoir qu’il produirait un logiciel malveillant. Une fois la fraude découverte, Apple révoque généralement l’identifiant, ce qui empêche les nouvelles exécutions ; les copies déjà installées peuvent en revanche continuer à fonctionner jusqu’à ce que XProtect ajoute la règle Yara correspondante — d’où l’importance du lien entre les deux évènements de ce bulletin.
Comment se protéger
Sur Mac : Réglages Système > Général > Mise à jour de Logiciels, puis vérifier que les mises à jour système et de sécurité automatiques sont activées.
Vérifier la version de XProtect installée : ouvrir le Terminal et taper sudo xprotect check (nécessite votre mot de passe administrateur). Elle doit être 5351 ou plus récente.
Ne pas monter d’image-disque .dmg reçue d’un contact inconnu ou via un lien inattendu, y compris quand elle prétend venir d’un service légitime.
Réviser périodiquement les LaunchAgents installés dans ~/Library/LaunchAgents/ et /Library/LaunchAgents/.
Pour un audit approfondi : utiliser un outil de vérification comme SilentKnight (Eclectic Light Company) ou KnockKnock (Objective-See Foundation), tous deux gratuits et développés par des chercheurs macOS reconnus.
Tableau des références
Titre de la page
URL officielle
Date de publication
CrashStealer: A Native macOS Infostealer Impersonating Apple’s Crash Reporter
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a corrigé une nouvelle vulnérabilité dans WebKit, le moteur de rendu utilisé par Safari et par toutes les applications qui affichent du contenu web sur les plateformes Apple. Référencée CVE-2026-43745, cette faille peut provoquer un arrêt inattendu de Safari lorsque l’utilisateur consulte une page malveillante spécifiquement conçue pour l’exploiter.
Ce bulletin fait partie d’une série d’annonces marquantes : Apple crédite officiellement, pour la première fois, des équipes de recherche assistées par intelligence artificielle dans la découverte de vulnérabilités WebKit. Dans le cas présent, la faille a été identifiée par Amy Burnett et Khai Tran de l’équipe OpenAI Codex Security.
Éléments impactés
Safari : versions antérieures à 26.5.2
iOS : versions antérieures à 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS : versions antérieures à 26.5.2 (iPad Pro, iPad Air 3ᵉ génération et ultérieurs, iPad 8ᵉ génération et ultérieurs, iPad mini 5ᵉ génération et ultérieurs)
macOS Tahoe : versions 26.0 à 26.5.1 incluses
Correctifs Apple publiés le 29 juin 2026 : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2, macOS Tahoe 26.5.2.
Description officielle Apple (VO) : « An out-of-bounds write issue was addressed with improved input validation. Processing maliciously crafted web content may lead to an unexpected Safari crash. »
Traduction fidèle : Un problème d’écriture hors limites a été corrigé par une amélioration de la validation d’entrée. Le traitement d’un contenu web malicieusement conçu peut entraîner un arrêt inattendu de Safari.
Classification : CWE-787 (Out-of-bounds Write).
Gravité : CVSS 6.5 MEDIUM — Source CISA-ADP, vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. Le NIST n’a pas attribué de score à la date de rédaction.
Attaque : à distance, via un simple contenu web piégé (aucune authentification, mais interaction utilisateur requise pour consulter la page).
Impact observable : arrêt inattendu du processus Safari (déni de service côté client). Le vecteur CVSS n’indique pas d’atteinte directe à la confidentialité ou à l’intégrité. Aucune exploitation active n’a été signalée par le NVD à ce jour.
Recommandation : appliquez immédiatement les mises à jour Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2, selon vos appareils.
Vulgarisation
WebKit est le moteur qui traduit le code des pages web (HTML, CSS, JavaScript, Canvas) en pixels affichés à l’écran. Une écriture hors limites signifie que le programme écrit des données au-delà de la zone mémoire qui lui est réservée : c’est comme dépasser la bordure d’un cahier lorsqu’on écrit. Résultat immédiat : Safari se ferme brutalement. Dans certains cas, ce type de faille peut être combiné avec d’autres pour aboutir à un impact plus grave, d’où l’importance de la corriger sans attendre.
Comment mettre à jour
iPhone / iPad : Réglages > Général > Mise à jour logicielle
Mac : Réglages Système > Général > Mise à jour de logiciels
Safari : mis à jour automatiquement avec le système sur iOS/iPadOS ; séparément via Mise à jour de logiciels sur macOS Sonoma et Sequoia
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a publié une nouvelle salve de correctifs pour Safari, iOS, iPadOS et macOS Tahoe. Parmi les failles corrigées figure CVE-2026-28979, une vulnérabilité d’accès hors limites située dans le composant WebRTC du moteur WebKit. Concrètement, la visite d’une page web spécialement conçue peut provoquer l’arrêt inattendu de Safari ou d’une application qui embarque WebKit. Le correctif renforce la vérification des bornes mémoire manipulées lors des échanges temps réel du navigateur.
Ce bulletin de veille rappelle les versions correctives publiées, la source officielle Apple pour chaque plateforme concernée, ainsi que le geste de mise à jour à effectuer.
Éléments impactés
Safari : versions antérieures à 26.5.2
iOS 26 : versions antérieures à 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS 26 : versions antérieures à 26.5.2 (iPad Pro, iPad Air 3ᵉ génération et ultérieurs, iPad 8ᵉ génération et ultérieurs, iPad mini 5ᵉ génération et ultérieurs)
macOS Tahoe 26 : versions 26.0 à 26.5.1 incluses
Correctifs Apple publiés le 29 juin 2026 : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2, macOS Tahoe 26.5.2.
Détails de la vulnérabilité
CVE-2026-28979 — Accès hors limites dans WebRTC (WebKit)
Description officielle Apple (VO) : « An out-of-bounds access issue was addressed with improved bounds checking. Processing maliciously crafted web content may lead to an unexpected process crash. »
Traduction fidèle : Un problème d’accès hors limites a été corrigé par un contrôle amélioré des bornes. Le traitement d’un contenu web spécialement conçu peut entraîner l’arrêt inattendu d’un processus.
Classification : CWE-125 (Out-of-bounds Read) et CWE-787 (Out-of-bounds Write).
Gravité : CVSS 6.5 MEDIUM — Source CISA-ADP, vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. Le NIST (NVD) n’a pas attribué de score à la date de rédaction.
Attaque : à distance, via un contenu web piégé. Aucune authentification n’est requise ; une interaction utilisateur (le simple fait d’ouvrir la page) suffit.
Impact observable : arrêt inattendu du processus qui embarque WebKit (déni de service côté client). Le vecteur CVSS n’indique pas d’atteinte directe à la confidentialité ou à l’intégrité, mais un défaut d’accès hors limites dans un moteur de rendu web reste surveillé de près : combiné à d’autres primitives, il peut ouvrir la voie à des scénarios d’exploitation plus lourds.
Chercheurs crédités : Je ne sais pas. La note officielle Apple pour cette entrée ne mentionne aucun chercheur nommément. Identifiant WebKit Bugzilla associé : 317324.
Recommandation : appliquez immédiatement les mises à jour Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 selon vos appareils. La faille étant déclenchable par une simple visite de site, la protection ne dépend d’aucune action volontaire au-delà de la navigation.
Vulgarisation
WebKit est le moteur qui traduit le code des pages web (HTML, CSS, JavaScript) en pixels affichés à l’écran. WebRTC est la brique de ce moteur qui gère les communications temps réel du navigateur : appels audio et vidéo, partage d’écran, échange de données entre pairs.
Un accès hors limites signifie que le programme lit ou écrit dans une zone mémoire au-delà de ce à quoi il avait droit. C’est comme sortir d’une case dans un tableur pour aller lire ou écrire dans la colonne d’à côté sans y être autorisé. Résultat immédiat : le processus qui utilise WebKit se ferme brutalement. Le correctif d’Apple consiste à vérifier plus rigoureusement les bornes de chaque case avant toute lecture ou écriture.
Comment mettre à jour
iPhone / iPad : Réglages > Général > Mise à jour logicielle
Mac : Réglages Système > Général > Mise à jour de logiciels
Safari : mis à jour automatiquement avec le système sur iOS et iPadOS ; séparément via Mise à jour de logiciels sur macOS Sonoma et Sequoia lorsque Apple publie une version Safari autonome pour ces systèmes.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Le 29 juin 2026, Apple a publié une série de correctifs pour iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Parmi les vulnérabilités corrigées figure CVE-2026-43722, une faille du noyau (Kernel) permettant à une application malveillante de divulguer un état sensible du noyau. Ce type de fuite d’information est particulièrement recherché par les attaquants car il constitue souvent la première étape d’une chaîne d’exploitation destinée à contourner les protections modernes du système (KASLR notamment) et à obtenir une élévation de privilèges.
Éléments impactés
iOS 26.5.2 : iPhone 11 et modèles ultérieurs
iPadOS 26.5.2 : iPad Pro 12,9 pouces (3ᵉ génération) et ultérieurs, iPad Pro 11 pouces (1ʳᵉ génération) et ultérieurs, iPad Air (3ᵉ génération) et ultérieurs, iPad (8ᵉ génération) et ultérieurs, iPad mini (5ᵉ génération) et ultérieurs
macOS Tahoe 26.5.2
Date de publication des correctifs : 29 juin 2026
Détail de la vulnérabilité
CVE-2026-43722 — Fuite d’état sensible du noyau
Publication : 2026-06-29 | Composant : Kernel
Impact officiel Apple (VO) : « An app may be able to leak sensitive kernel state ».
Traduction : « Une application peut être en mesure de divulguer un état sensible du noyau. »
Description officielle Apple (VO) : « The issue was addressed with improved input sanitization. »
Traduction : « Le problème a été corrigé par une meilleure assainissation des entrées. »
Gravité (CVSS) : Je ne sais pas. Le NIST n’a pas encore attribué de score CVSS à cette CVE au moment de la publication de ce bulletin. Aucun score officiel n’a été communiqué par Apple.
Chercheurs crédités par Apple : Feng Xue et XGPT de ThreatBook, Hyunwoo Kim (@v4bel).
Pourquoi cette faille compte
Les états internes du noyau (adresses mémoire, pointeurs, jetons de sécurité, structures de données internes) doivent rester hors de portée de l’espace utilisateur. Une fuite de ces données facilite le contournement de KASLR, la mécanique qui protège le noyau en rendant imprévisible l’emplacement de ses fonctions et structures en mémoire. Combinée à une seconde vulnérabilité (corruption mémoire, écriture arbitraire), une telle primitive peut permettre à un attaquant local — c’est-à-dire une application installée sur l’appareil — d’obtenir une élévation de privilèges ou d’échapper au bac à sable applicatif. Sur les plateformes Apple, ce type de primitive est prisé par les acteurs de la sécurité offensive et par les éditeurs de logiciels espions commerciaux.
Recommandations
Mettre à jour immédiatement vers iOS 26.5.2, iPadOS 26.5.2 ou macOS Tahoe 26.5.2 via Réglages > Général > Mise à jour logicielle (iPhone/iPad) ou Réglages Système > Général > Mise à jour de logiciels (Mac).
Éviter d’installer des applications provenant de sources non vérifiées (sideloading, canaux de distribution alternatifs) jusqu’à l’application du correctif.
Contrôler la liste des applications installées et supprimer celles dont l’origine ou l’usage est douteux.
Tableau des références
Titre de la page du support technique
URL officielle
Date de publication
About the security content of iOS 26.5.2 and iPadOS 26.5.2 — Apple Support
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé, dans sa vague de mises à jour de sécurité du 11 mai 2026, une vulnérabilité de confidentialité identifiée sous la référence CVE-2026-28906. Cette faille, présente dans plusieurs systèmes d’exploitation, permettait à un attaquant distant de pister un utilisateur en exploitant son adresse IP, en raison d’une gestion d’état défaillante. Le pistage par adresse IP est l’un des vecteurs d’atteinte à la vie privée qu’Apple combat activement, ce qui rend ce correctif particulièrement significatif pour l’ensemble de son écosystème.
Ce bulletin résume la nature du problème, les versions correctives, la portée de la vulnérabilité et les recommandations de mise à jour.
Description officielle Apple (traduction) : « Ce problème a été traité par une amélioration de la gestion d’état. Un attaquant pourrait être en mesure de pister les utilisateurs via leur adresse IP. »
Analyse : La vulnérabilité est classée sous CWE-359 (Exposition d’informations personnelles privées à un acteur non autorisé). Elle n’exige ni authentification, ni interaction de l’utilisateur, et peut être exploitée à distance sur le réseau. Concrètement, ce type d’anomalie survient lorsque des identifiants réseau ou des sessions ne sont pas correctement isolés ou réinitialisés entre différents contextes, laissant l’adresse IP réelle exposée à des tiers. Apple n’a pas publié le détail technique du mécanisme.
Gravité : Le score CVSS n’a pas encore été attribué par le NIST au moment de la publication (statut NVD : Received). Aucun code d’exploitation public (proof-of-concept) n’a été rendu disponible.
Portée : La correction couvre à la fois la branche de support étendu iOS 18 et la branche 26 (dernières versions majeures), signalant une portée transverse à l’ensemble des plateformes récentes d’Apple.
Recommandation : Installer sans délai la mise à jour correspondant à votre système. Sur iPhone et iPad, ouvrir Réglages > Général > Mise à jour logicielle. Sur Mac, ouvrir Réglages Système > Général > Mise à jour de logiciels. Sur Apple Vision Pro, ouvrir Réglages > Général > Mise à jour logicielle.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a corrigé une nouvelle vulnérabilité affectant la pile graphique de macOS, iOS et iPadOS. Publiée officiellement le 29 juin 2026, la faille CVE-2026-43743 concerne le composant IOGPUFamily, un module noyau chargé d’exposer les capacités du GPU aux applications. Une application malveillante déjà présente sur l’appareil pouvait exploiter une condition de course pour provoquer un arrêt inattendu du système (kernel panic).
Ce bulletin détaille la faille et les mises à jour correctives à installer sans délai.
Éléments impactés
macOS Tahoe : correction dans macOS Tahoe 26.5.2
iOS : correction dans iOS 26.5.2 (iPhone 11 et modèles ultérieurs)
iPadOS : correction dans iPadOS 26.5.2 (iPad Pro 12,9″ 3e génération et ultérieurs, iPad Pro 11″ 1re génération et ultérieurs, iPad Air 3e génération et ultérieurs, iPad 8e génération et ultérieurs, iPad mini 5e génération et ultérieurs)
Date officielle de publication des correctifs : 29 juin 2026.
Impact officiel Apple : « An app may be able to cause unexpected system termination » (une application peut provoquer un arrêt inattendu du système).
Description officielle Apple : « A race condition was addressed with improved state handling » (une condition de course a été corrigée par une meilleure gestion d’état).
Classification CWE : CWE-362 — Concurrent Execution using Shared Resource with Improper Synchronization (« Race Condition »).
Analyse vulgarisée : IOGPUFamily est la famille de pilotes noyau qui permet aux applications de dialoguer avec le processeur graphique Apple. Une condition de course apparaît lorsque deux fils d’exécution accèdent simultanément à un même état partagé sans mécanisme de synchronisation suffisant. Le pilote pouvait alors se retrouver dans un état incohérent, ce qui provoquait l’arrêt inattendu du système (kernel panic). L’attaquant doit disposer d’une application locale déjà en cours d’exécution ; l’attaque distante n’est pas possible.
Score CVSS : 4.7 (MEDIUM) selon l’évaluation CISA-ADP publiée sur le NVD (vecteur CVSS 3.1 : AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H). Aucun score n’a encore été attribué par le NIST au moment de la rédaction.
Chercheurs crédités par Apple : Lyutoon, Dun.
Recommandation : installer sans délai macOS Tahoe 26.5.2, iOS 26.5.2 ou iPadOS 26.5.2 selon l’appareil. Sur les postes multi-utilisateurs, les fermes de build ou les environnements où des applications non fiables peuvent s’exécuter, la mise à jour est prioritaire.
Tableau des références
Titre de la page
URL officielle
Date de publication
About the security content of macOS Tahoe 26.5.2 – Apple Support
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a publié le 29 juin 2026 une nouvelle vague de correctifs pour Safari, iOS et iPadOS. Parmi la trentaine de failles corrigées, la vulnérabilité CVE-2026-43725 attire particulièrement l’attention : elle permet à un site web malveillant de traiter du contenu web restreint en dehors du bac à sable (sandbox) WebKit. En clair, une simple visite d’une page piégée peut suffire à contourner l’une des principales barrières de sécurité du navigateur. Ce bulletin explique en termes accessibles ce que cette faille change pour les utilisateurs et quelles versions installer.
Éléments impactés
Safari 26.5.2 sur macOS Sonoma et macOS Sequoia
iOS 26.5.2 — iPhone 11 et modèles ultérieurs
iPadOS 26.5.2 — iPad Pro 12,9 pouces (3ᵉ génération) et ultérieurs, iPad Pro 11 pouces (1ʳᵉ génération) et ultérieurs, iPad Air (3ᵉ génération) et ultérieurs, iPad (8ᵉ génération) et ultérieurs, iPad mini (5ᵉ génération) et ultérieurs
Date de publication des correctifs : 29 juin 2026 (source : support.apple.com).
Impact officiel Apple : « A malicious website may be able to process restricted web content outside the sandbox » (un site web malveillant peut être en mesure de traiter du contenu web restreint hors du bac à sable).
Description officielle Apple : le problème a été corrigé par une validation d’entrée améliorée (« The issue was addressed with improved input validation »).
Chercheur crédité : Luke Francis.
Référence WebKit Bugzilla : 312832.
Score CVSS : Je ne sais pas. Apple ne publie pas systématiquement un score CVSS dans ses bulletins de sécurité, et aucun score officiel n’est disponible dans la fiche support.apple.com au moment de la rédaction.
Exploitation active connue : Je ne sais pas. Apple ne mentionne pas d’exploitation active sur ces fiches.
Ce que cela signifie pour l’utilisateur
Le bac à sable (« sandbox ») est une zone isolée où Safari exécute le contenu des sites web. Il empêche un site de fouiller dans les fichiers de l’appareil ou dans les données d’autres onglets. Une évasion du bac à sable (« sandbox escape ») est donc l’un des scénarios les plus sérieux : elle peut, seule ou combinée à d’autres failles, devenir le premier maillon d’une chaîne d’exploitation menant à des privilèges plus élevés. Voilà pourquoi Apple traite ces failles comme prioritaires, même sans preuve d’exploitation active.
Recommandations
Installer les mises à jour immédiatement : Safari 26.5.2, iOS 26.5.2 et iPadOS 26.5.2 sur les appareils compatibles.
Vérifier les mises à jour automatiques :Réglages > Général > Mise à jour logicielle sur iPhone/iPad, ou Réglages système > Général > Mise à jour de logiciels sur Mac.
Redémarrer l’appareil après installation pour s’assurer que tous les composants WebKit sont bien rechargés.
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Apple a publié des correctifs pour deux vulnérabilités affectant Safari et les systèmes d’exploitation de l’écosystème Apple. Une vulnérabilité de contournement de mécanisme de sécurité web (CVE-2026-28907, CVSS 8.1 – HAUTE) et une fuite d’informations via cross-origin (CVE-2026-43700, CVSS 6.5 – MOYENNE) nécessitent une mise à jour prioritaire de votre système.
Éléments impactés
CVE-2026-28907 : Contournement de Content Security Policy dans Safari
Publication : 11 mai 2026
Systèmes affectés :
Safari 26.5
iOS 18.7.9 et 26.5
iPadOS 18.7.9 et 26.5
macOS Tahoe 26.5
tvOS 26.5
visionOS 26.5
watchOS 26.5
Gravité : CVSS 8.1 (élevée)
CVE-2026-43700 : Fuite d’informations via cross-origin dans WebKit
Publication : 29 juin 2026
Systèmes affectés :
Safari 26.5.2
iOS 26.5.2
iPadOS 26.5.2
macOS Tahoe 26.5.2
Gravité : CVSS 6.5 (moyenne)
Détails techniques
CVE-2026-28907 : Contournement de Content Security Policy
Description : Une validation d’entrée inadéquate dans le moteur de rendu web des produits Apple permet à un attaquant de créer du contenu web malveillant pour contourner ou désactiver les protections Content Security Policy (CSP). La CSP est un mécanisme de sécurité fondamental qui prévient les injections XSS et les attaques par injection de code.
Impact : En contournant la CSP, un attaquant peut exécuter du code JavaScript malveillant dans le contexte d’un site victime, donnant accès aux données sensibles, aux cookies de session, et permettant des opérations non autorisées au nom de l’utilisateur.
Recommandation : Mettre à jour Safari et tous les systèmes Apple vers les versions corrigées listées ci-dessus. Cette mise à jour ne peut pas être différée en raison du CVSS élevé (8.1).
CVE-2026-43700 : Fuite d’informations via cross-origin
Description : Une faille dans le suivi des origines (security origins) de WebKit permet à une page malveillante d’exploiter une vérification cross-origin insuffisante pour accéder à des données sensibles provenant d’un autre domaine. Cela contourne la politique de même-origine (Same-Origin Policy), un mécanisme fondamental de sécurité des navigateurs.
Impact : Un attaquant créant un site malveillant peut inciter un utilisateur à le visiter et ainsi extraire des informations confidentielles (données de compte, jetons de session, informations personnelles) provenant de sites tiers visités par l’utilisateur.
Apple a publié des correctifs le 29 juin 2026 pour corriger une vulnérabilité de gestion mémoire affectant Safari, iOS, iPadOS et macOS Tahoe. Cette faille, identifiée sous le numéro CVE-2026-43663, représente un risque modéré (CVSS 6.5) pour les utilisateurs Apple. Le traitement de contenu web malveillant peut entraîner un crash du navigateur ou du processus de rendu, ouvrant potentiellement la voie à une exécution de code arbitraire.
Les systèmes affectés incluent Safari, iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Les correctifs officiels sont disponibles depuis le 29 juin 2026.
Éléments impactés
Système/Navigateur
Version affectée
Version corrective
Date de publication
Safari
< 26.5.2
Safari 26.5.2
29 juin 2026
iOS
< 26.5.2
iOS 26.5.2
29 juin 2026
iPadOS
< 26.5.2
iPadOS 26.5.2
29 juin 2026
macOS Tahoe
< 26.5.2
macOS Tahoe 26.5.2
29 juin 2026
Analyse détaillée
CVE-2026-43663 : Faille de gestion mémoire dans WebKit
Identifiant : CVE-2026-43663
Score CVSS : 6.5 (Gravité MOYENNE)
Type de vecteur : Réseau / Interface utilisateur
Publication officielle : 29 juin 2026
Description officielle Apple : « Le traitement de contenu web conçu de manière malveillante peut entraîner un crash inattendu du processus. Le problème a été résolu par une meilleure gestion de la mémoire dans Safari 26.5.2, iOS 26.5.2, iPadAS 26.5.2 et macOS Tahoe 26.5.2. »
Contexte technique : Cette vulnérabilité affecte le moteur de rendu web WebKit, utilisé par Safari et les navigateurs embarqués dans les systèmes d’exploitation Apple. Elle combine deux faiblesses critiques : une restriction insuffisante des opérations aux limites de la mémoire tampon (CWE-119) et une utilisation de mémoire libérée (use-after-free, CWE-416).
Un attaquant peut exploiter cette chaîne de vulnérabilités en créant une page web contenant du contenu spécialement conçu qui, une fois traité par le navigateur, force l’accès à une zone mémoire déjà libérée.
Impact immédiat : Déni de service (crash du processus de rendu)
Impact potentiel : Cette classe de vulnérabilités représente un vecteur d’attaque classique vers l’exécution de code arbitraire, particulièrement sensible sur les appareils mobiles
Chercheurs ayant signalé la faille : Soyeon Park, Amy Burnett, Khai Tran, sherkito, Kota Toda, HexRabbit (@h3xr4bb1t) et NiNi (@terrynini38514) de DEVCORE Research Team ; Tristan Madani (@TristanInSec) de Talence Security ; Brian Carpenter.
Recommandations pour les utilisateurs
Mettre à jour immédiatement vers les versions correctives : Safari 26.5.2 ou ultérieur, iOS 26.5.2 ou ultérieur, iPadAS 26.5.2 ou ultérieur, macOS Tahoe 26.5.2 ou ultérieur
Vérifier les paramètres de mise à jour automatique pour s’assurer que les correctifs seront installés dès leur disponibilité
Redémarrer les appareils après l’installation des mises à jour pour appliquer les modifications de sécurité
Éviter la visite de sites web suspects ou non fiables en attendant la mise à jour, en particulier sur les appareils mobiles
Apple a corrigé une vulnérabilité critique de validation d’entrée dans le kernel affectant iOS, iPadOS et macOS Tahoe. La faille (CVE-2026-39868) permet à une application malveillante d’accéder localement au système pour corrompre la mémoire du kernel ou provoquer un arrêt inattendu du système. Les corrections ont été publiées le 29 juin 2026.
CVE détaillée : CVE-2026-39868
Identification
Identifiant : CVE-2026-39868
Date de publication : 29 juin 2026
Score CVSS : Non disponible
Vecteur d’exploitation : Local (application malveillante)
Impact : Escalade de privilèges, corruption d’intégrité système
Description officielle
La vulnérabilité réside dans une validation insuffisante des paramètres d’entrée au niveau du kernel Apple. Un développeur d’application malveillante peut exploiter cette faille pour accéder aux ressources système privilégiées sans autorisation de l’utilisateur.
Contenu officiel Apple : « This issue was addressed with improved input validation. This issue is fixed in iOS 26.5.2 and iPadOS 26.5.2, macOS Tahoe 26.5.2. An app may be able to cause unexpected system termination or corrupt kernel memory. »
Produits affectés et versions correctives
Système
Versions affectées
Correction
Date
iOS
< 26.5.2
iOS 26.5.2
29 juin 2026
iPadOS
< 26.5.2
iPadOS 26.5.2
29 juin 2026
macOS Tahoe
< 26.5.2
macOS Tahoe 26.5.2
29 juin 2026
Contexte de découverte
La vulnérabilité a été créditée à des chercheurs en sécurité de premier plan provenant de STAR Labs, Positive Technologies et Baidu Security, soulignant la complexité technique et l’importance critique de cette faille.
Bien que le vecteur d’exploitation soit local (installation d’une application requise), l’impact potentiel est sévère dans les environnements d’entreprise où le contrôle des applications constitue un enjeu critique.
Recommandations
Mise à jour immédiate : Tous les utilisateurs d’iOS, iPadOS et macOS Tahoe doivent mettre à jour vers les versions 26.5.2 dès réception de la notification Apple.
Contrôle des applications (entreprises) : Renforcer la politique d’installation d’applications pour limiter les risques d’exécution de code malveillant.
Surveillance des exploits : Vérifier la base de données CISA des vulnérabilités exploitées pour tout signe d’exploitation active.
Une nouvelle vulnérabilité affectant le kernel d’Apple a été corrigée dans les mises à jour iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2. Cette faille de haute gravité (CVSS 7.8) permet à une application malveillante d’effectuer des écritures en mémoire kernel, contournant les protections de sécurité du système. Aucune interaction utilisateur n’est requise pour exploiter cette faille.
Systèmes et produits impactés
La vulnérabilité CVE-2026-43724 affecte les appareils suivants en versions antérieures à :
iOS : versions antérieures à 26.5.2
iPadOS : versions antérieures à 26.5.2
macOS Tahoe : versions antérieures à 26.5.2
Les correctifs sont disponibles depuis le 29 juin 2026 pour tous ces systèmes.
Appareils affectés (iOS/iPadOS)
iPhone 11 et ultérieur
iPad Pro 12,9 pouces (3e génération et ultérieures)
iPad Pro 11 pouces (1ère génération et ultérieures)
iPad Air (3e génération et ultérieures)
iPad (8e génération et ultérieures)
iPad mini (5e génération et ultérieures)
Détails techniques
Publication : 29 juin 2026 | Composant : Kernel Apple
CVE-2026-43724 résulte d’une validation insuffisante des données d’entrée dans le kernel Apple. Une application non autorisée peut exploiter ce défaut pour effectuer des écritures en mémoire kernel, ou pour divulguer des états sensibles du kernel. Le problème a été résolu par une validation améliorée des entrées.
Cette vulnérabilité forme une primitive d’escalade de privilèges permettant aux attaquants de contourner les mécanismes de sécurité cœurs du système d’exploitation. Elle est particulièrement dangereuse car elle ne nécessite pas d’interaction utilisateur et peut être exploitée par une application standard.
Vecteur d’attaque
Vecteur : LOCAL
Complexité : FAIBLE
Privilèges requis : FAIBLES
Interaction utilisateur : AUCUNE
Impact confidentiel : ÉLEVÉ
Impact intégrité : ÉLEVÉ
Impact disponibilité : ÉLEVÉ
Recommandations
Action immédiate requise :
Vérifiez la version installée de votre appareil (Réglages > Général > Informations)
Installer immédiatement les mises à jour disponibles :iOS 26.5.2 ou ultérieur, iPadOS 26.5.2 ou ultérieur, macOS Tahoe 26.5.2 ou ultérieur
Redémarrez votre appareil après l’installation pour activer le correctif
Cette faille affecte des millions de dispositifs en production. Apple classe cette mise à jour parmi ses priorités de sécurité critiques.
Publication : 22 avril 2026 | Framework : Notification Services
Apple a corrigé une vulnérabilité de divulgation d’informations affectant iOS et iPadOS : les notifications marquées pour suppression restaient conservées inattendue en mémoire, rendant leur contenu accessible via un accès local au dispositif.
Détails de la vulnérabilité
Apple a identifié un défaut critique dans la gestion des logs des Notification Services. Lorsqu’un utilisateur supprimait une notification, le contenu de celle-ci n’était pas correctement purgé de la mémoire persistante du dispositif. Cette rétention inattendue exposait les données sensibles (messages privés, codes d’authentification, données financières) à toute personne ayant accès physique à l’appareil déverrouillé.
Cette vulnérabilité a attiré l’attention suite à des rapports montrant que le FBI avait pu accéder au contenu des notifications Signal supprimées d’un suspect, malgré la suppression de l’application Signal de l’appareil. Les notifications Signal affichent un aperçu du message entrant dans les alertes, incluant l’identifiant du destinataire et une portion du contenu du message. iOS n’effectuait pas une redaction complète de ces données lors de leur suppression par l’utilisateur.
Systèmes affectés et correctifs
Système
Versions vulnérables
Version corrective
iOS
15.8.7 et antérieur, 16.7.15 et antérieur, 17.7.10 et antérieur, 18.7.7 et antérieur, 26.4.1 et antérieur
15.8.8 / 16.7.16 / 17.7.11 / 18.7.8 / 26.4.2
iPadOS
15.8.7 et antérieur, 16.7.15 et antérieur, 17.7.10 et antérieur, 18.7.7 et antérieur, 26.4.1 et antérieur
15.8.8 / 16.7.16 / 17.7.11 / 18.7.8 / 26.4.2
Recommandations pour les utilisateurs
Immédiatement :
Mettre à jour vers les versions correctives ci-dessus
Pour les applications de messagerie sensibles (Signal, Telegram, WhatsApp, ProtonMail, etc.), configurer les notifications pour afficher uniquement le nom de l’expéditeur sans aperçu du contenu
Désactiver les aperçus de contenu dans les paramètres de notification des applications critiques
Cette petite automatisation lance de la musique quand vous quittez votre domicile. Cela permet de simuler une présence dans l’habitation et ainsi tenter de dissuader des tentatives d’intrusions.
Cette petite automatisation lance de la musique quand vous quittez votre domicile. Cela permet de simuler une présence dans l’habitation et ainsi tenter de dissuader des tentatives d’intrusions.
Ceux qui usent de cette astuces, savent que parfois on oublie d’allumer la radio ou l’enceinte.
Cette automatisation s’appuie sur trois éléments :
Un iPhone pour détecter votre emplacement (géolocalisation activée)
Un abonnement Apple Music pour accéder à vos playlist ou radios.
Un HomePod ou une enceinte AirPlay 2
(Les enceintes AirPlay 2 doivent être ajoutées manuellement à Maison/HomeKit pour fonctionner dans des automatisations). Et je considère que tous les membres du foyer sont équipés d’iPhone. 🙂
Toute la configuration est réalisée dans l’application : Maison.
Elle contient votre HomePod (ou votre enceinte AirPlay) et depuis iOS 13, elle est devenue le centre d’automatisation de la démotique Apple.
Ouvrez : Maison
1 – Sélectionnez : Automatisation et le bouton + en haut à droite
2 – sélectionnez dans la liste : Des personnes partent.
Grâce à ce déclencheur dès qu’une personne (ou des personnes) quitte le domicile, l’automatisme se lance. Nous verrons qu’il est possible de décider qui et combien de personne et quand.
3 – ce panneau permet de définir le contexte :
Qui, quand, quoi…
Quand : Qui en cliquant sur le « i » choisissez les personnes qui initieront l’automatisation. Dans notre cas, l’option la plus adaptée est : Quand la dernière personne part.
Le « i » offre la possibilité de sélectionner dans la famille les membres à prendre en compte.
lieu : par défaut ce sera celui de votre domicile, mais vous pourriez en sélectionner un second comme une résidence secondaire. Il suffit de saisir l’adresse ou de naviguer sur la carte.
Heure : définissez quand cet automatisme sera activé, considérant qu’il s’agit d’une simulation de présence donc elle doit fonctionner à tout moment de la journée.
Vous pouvez optez pour choisir : la nuit, dans ce cas le scenario s’exécutera entre le couché et le levé du jour.
Sélectionnez : Suivant
4 – sélectionnez le HomePod
Dans la liste de vos accessoires HomeKit, vous trouverez le HomePod. Les accessoires sont classés par pièce. Idem pour une enceinte AirPlay 2.
A ce stade, vous pourriez aussi sélectionner une ampoule connectée comme celles de Philips Hue ou IKEA. Le HomePod et la lumière seraient allumé lorsque le dernier membre de la famille quite la maison.
Sélectionnez : Suivant
5 – Sélectionner la radio ou la playlist
Cette fenêtre récapitule le scénario avant de passer à la dernière étape. S’agissant du HomePod, une section Audio apparaît en bas, elle permet de choisir ce qui sera joué.
Sélectionnez : lire Audio.
6 – Sélectionnez l’audio.
Vous pourriez choisir une playlist, ce n’est pas le plus judicieux. En effet elle a une fin, optez plutôt pour une radio.
Le niveau sonore a son importance, imaginez avoir laissé le volume à très fort, vous risquez d’insuporter vos voisins. Il est préférable d’indiquer le volume souhaité.
Dans notre cas, il est préférable, d’utiliser un radio alors qu’un playlist aura une durée limitée… sauf à l’écouter en boucle 🙂
Et c’est tout ! Dès que la dernière personne quitte le domicile 🏡 le HomePod émettra de la musique.
Modifier ce processus pour ajouter de la lumière dans une pièce est très simple, sélectionnez une ampoule 💡 (Philips Hue) par exemple et elle s’allumera au même moment que le HomePod.
Avec Yosemite, Safari a subi quelques modifications. L’une des plus visibles est le nouvel affichage des liens internet dans la zone d’adresse internet (url). L’adresse complète n’apparait plus et seul le nom du domaine est présent, ainsi si vous accédez à http://www.apple.com/fr/store, seul sera affiché www.apple.com.
Cet affichage paraît de prime abord en retrait pas rapport à ce que nous connaissions sous les précédentes versions. Si cela vous ennuie de ne pas pouvoir visualiser toute l’adresse vous pouvez modifier safari et revenir dans un affichage plus classique.
Pour se faire ouvrez les préférences de safari, puis dans l’onglet Avancées, cochez ou décochez la case Afficher l’adresse complète du site Web dans la section Champ de recherche intelligent.
(la préférence à modifier dans les préférences de Safafri)
Dans le domaine du piratage ou du hacking toutes les méthodes sont bonnes pour tromper l’utilisateur, une technique bien connue est celle des faux domaines où fausse url. Elles sont si longues que l’on perd le site sur lequel on est. On se retrouve très vite sur un faux site de type : http://www.client.paypal.eu.money.com alors qu’on devrait être sur le site http://www.paypal.com.
Grâce au nouvel affichage dans Safari vous contrôlez immédiatement le site sur lequel vous naviguez, et vous ne serez pas pris par la tentative de vous emmener sur un site frauduleux. Conserver ce réglage, il vous évitera de tomber dans des pièges.
Quant il s’agit de vendre, toutes les promesses sont permises, on nous assure qu’un service est sécurisé ou que l’application échange des informations chiffrées sans possibilité de les récupérer. Bien mais comment nous assurer que ces promesses seront bien tenues ?
Quant il s’agit de vendre, toutes les promesses sont permises, on nous assure qu’un service est sécurisé ou que l’application échange des informations chiffrées sans possibilité de les récupérer. Bien mais comment nous assurer que ces promesses seront bien tenues ?
Le seul moyen aujourd’hui de sécuriser un échange entre deux ordinateurs est de chiffrer les données, grâce au chiffrement asymétrique et aux jeux des clés publiques/clés privées seul celui qui reçoit l’information est à même de les décrypter. En clair même si quelqu’un intercepte la communication, il ne peut en déduire le contenu.
Lorsque vous communiquez avec Apple ou votre banque sur internet le flux de données est sécurisé par un chiffrement par SSL. C’est le petit cadenas qui apparaît dans la fenêtre de Safari pour vous dire que l’échange est protégé.
S’il existe bien un indicateur visible dans les browsers, il n’existe rien dans les applications pour indiquer qu’elles communiquent de façon chiffrées. Qui vous dit que l’application bancaire qui est installée sur votre iPhone utilise bien un protocole de chiffrement pour envoyer vos informations vers les serveurs de la banque ? Vous vous en remettez à la promesse de l’éditeur du logiciel.
J’ai longtemps cherché un outil à même de m’aider dans l’analyse des flux sortants d’un appareil. Il existe de nombreux outils d’analyses de réseaux, mais ils ne sont pas conviviaux et permettent uniquement une analyse des trames qui passent par votre ordinateur. Jusqu’au jour où j’ai découvert Debookee. L’éditeur est la société iwaxx (http://www.iwaxx.com/debookee/), l’utilitaire est vendu au prix de 24,90$ version d’évaluation disponible sur le site.
Qu’est ce qui fait que Debookee (prononcez « debouki ») est si diffèrent ? Il emploie une technique peu commune, il se place entre le retour et l’appareil que vous souhaitez surveiller. Imaginons que vous voulez connaître tous les flux envoyés de votre iPhone, Debookee va se placer entre l’iPhone et le routeur (votre box) vous obtiendrez ainsi tous les flux sortants en Http, les requêtes DNS et autres protocoles.
(Principe de Debookee : Man in the Middle)
Debookee ne vous permet pas de récupérer le contenu des paquets, par contre il vous indique si l’échange est chiffré ou pas. L’interface est simple, commencez par cliquer sur le bouton « Lan your scan », là Debookee commence par scanner votre réseau local pour tenter d’identifier les matériels connectés.
(Le scan du réseau)
Notez la colonne « Role » et le « Me » face à votre ordinateur. Nous allons commencer par sélectionner l’appareil que nous voulons étudier, la cible. Sélectionnez une ligne (autre que votre machine) puis cliquez sur l’icône « Toogle Target ». Face à la ligne les lettres « Tgt » pour Cible (ou Target en Anglais).
(La cible sélectionnée dans la liste)
Maintenant que vous avez sélectionné votre cible, cliquez sur le bouton à gauche « Start Dbk » (Start Debookee) qui active l’analyse. Ensuite lancez une activité sur le Mac ou l’iPhone qui est en cible. Une page internet ou une application connectée au Web. Les informations commencent à apparaître dans la section Targets, vous aurez probablement une section DNS, pour les requêtes DNS demandées par l’appareil puis en dessous la section : http, elle regroupe toutes les requêtes Web. Cliquez sur cette section pour consulter la liste.
(Les résultats des requêtes DNS)
(Les résultats des requêtes http ou Web)
Si du trafic est détecté avec d’autres protocoles il sera listé dans la section « Other TCP ». Pour bien comprendre l’intérêt de cet outil, ouvrez une page Google et observez les résultats : Google tient ses promesses, les flux sont tous chiffrés. Mais c’est loin d’etre la cas pour d’autres y compris sur depuis votre iPhone !
Vous avez la possibilité de consulter les mêmes listes pour votre ordinateur (section : « own traffic ») ou plus globalement sur votre réseau. Debookee vous aidera à identifier les accès à internet non sécurisés, et vous permettra d’éviter les services pseudo sérieux qui n’ont rien de professionnel.
Et vous pourrez peut être faire quelques découvertes comme ce service qu’Apple utilise dès qu’on ouvre Spotlight ou Safari : api.smoot.apple.com, il s’agit d’un service de suggestion, lorsque vous saisissez du texte dans l’adresse Web, les propositions de sites ne proviennent pas de Google ou Bing mais d’Apple !
Spotlight, le moteur de recherche d’Apple utilise votre géolocalisation pour affiner les suggestions qui vous sont faites. Dès que vous saisissez un mot dans Spotlight, celui-ci envoie sur les serveurs d’Apple plusieurs informations, le texte saisi bien sur mais aussi l’emplacement de votre Mac.
Si cela peut sembler étrange, cette information est importante pour construire la liste des suggestions proposées, à quoi cela sert-il d’avoir les numéros des pizzerias de Nice si vous habitez Bordeaux. Spotlight obtient ses informations du service api.smot.apple.com… qui est sollicité à chaque lancement de spotlight.
(le service de suggestion d’Apple est sollicité par Spotlight et Safari, source Debookee)
Avant de désactiver cette fonction, sachez qu’Apple continuera à affiner les suggestions, mais cette fois, l’opérations sera différente : la géolocalisation sera effectuée à partir de l’adresse IP et sera approximative, ensuite l’identifiant envoyé ne sera pas celui de votre machine mais un identifiant « jetable » d’une durée de vie de 15 minutes.
Apple vous laisse le choix : employer une géolocalisation précise (basée sur l’adresse IP) mais associée à l’identifiant de votre Mac ou une opération anonyme et moins précise. Dans tous les cas la communication est chiffrée donc incompréhensible pour ceux qui tenteraient d’intercepter la communication entre votre Mac et les serveurs d’Apple. La désactivation se fait dans le panneau de préférences Sécurité et Confidentialité. Déverrouillez le cadenas en bas à gauche sinon vous ne pourrez pas modifier les paramètres du panneau de préférences.
(le panneau de préférences Sécurité et Confidentialité)
Commencez par cliquer sur Service de localisation dans la colonne de Gauche. Dans la lise des éléments utilisant la Géolocalisation, descendez tout en bas de la liste pour cliquer sur le bouton Détails face à Service Système.
(fenêtre de modification des paramètres de Géolocalisation et de Spotloght)
Dans la fenêtre qui apparaît, décochez Suggestion Spotlight. Par contre je vous conseille de cocher la seconde ligne, l’icône de géolocalisation apparaitra dès que le service est sollicité. Si vous avez des doutes, ouvrez le panneau de préférences de Spotlight et cliquez sur le bouton À propos suggestion Spotlight et de la confidentialité, Apple explique tout !
(la fenêtre d’explication dans le panneau de préférences Spotlight)
GateKeeper est cet outil de sécurité qui vous permet d’exécuter ou pas des applications acquises hors du Mac App Store.
Pour le désactiver, il suffit d’ouvrir le panneau de préférences Sécurité et confidentialité. De cliquer sur le cadenas et de fournir le mot de passe de session, ensuite de choisir quel niveau de protection on souhaite utiliser. Un conseil, restez sur mac App Store et des développeurs identifiés pour votre sécurité.
GateKeeper est cet outil de sécurité qui vous permet d’exécuter ou pas des applications acquises hors du Mac App Store.
Pour le désactiver, il suffit d’ouvrir le panneau de préférences Sécurité et confidentialité. De cliquer sur le cadenas et de fournir le mot de passe de session, ensuite de choisir quel niveau de protection on souhaite utiliser. Un conseil, restez sur mac App Store et des développeurs identifiés pour votre sécurité.
(les préférences de Sécurité et Confidetialité)
En téléchargeant parfois une application un peu ancienne, vous aurez besoin de modifier le niveau afin d’autoriser l’exécution de toutes les applications : Il existe une commande dans le terminal pour cela, qui peut être placée dans un flux Automator, si vous l’utilisez régulièrement :
$ sudo defaults write /Library/Preferences/com.apple.security GKAutoRearm -bool NO
Sudo est nécessaire pour obtenir les autorisations, remplacez NO par YES pour activer à nouveau GateKeeper.
Vous souhaitez identifier les ports TCP/IP ouverts ainsi que les connexions actives ? Les ports ouverts indiquent les applications qui sont en écoutent, elles attendent une connexion depuis l’extérieur. Ce qui peut révéler un partage actif alors que vous ne l’avez pas lancé.
Les connexions, elles, désignent les applications qui réalisent des échanges avec l’extérieur. Il faut faire attention à cette liste car les logiciels malveillants ont pour habitude d’envoyer des informations récupérées sur votre machine vers des serveurs sur Internet. Si le nom d’une application semble étrange, il convient de l’interrompre.
Le plus simple est de passer par le terminal et d’utiliser cette ligne de commande :
$ lsof -i
Je l’ai adapté pour un affichage un peu plus « lisible « :
(écran du terminal affichant la liste des ports TCP/IP ouverts)
J’utilise Automator pour m’envoyer cette liste par Email depuis des Mac distants, voici comment :
Lancez Automator, sélectionnez « Alarme Calendrier » si votre objectif est de programmer cet envoi de façon régulière. Sinon optez pour la création d’une application que vous lancerez pour récupérer ces informations par Mail.
Commencez par placez l’action « Exécuter un script Shell », copiez la commande Unix. Ensuite ajoutez l’action « Créer un fichier Texte » et compléter les paramètres. Terminez par l’action de Mail : « Nouveau Message Mail».
(le flux au complet).
Une fois exécuté, le flux crée un message avec comme pièce jointe le fichier contenant l’ensemble des ports ouverts.
(le mail avec le fichier en pièce jointe)
Si vous ne voulez pas laisser de trace du fichier créé, ajoutez deux actions.
« Obtenir les éléments du Finder indiqué », indiquez le chemin jusqu’au fichier à supprimer. Puis placez l’action « Placer les éléments du Finder à la corbeille ».
(Les deux actions à ajouter pour supprimer le fichier créé.)
Chiffrer une clé USB revient exactement au même principe que de chiffrer un disque dur. Il est important de se rappeler que la clé USB doit etre formatée en utilisant le format de fichier d’Apple qui est le HFS+. Votre clé ne sera donc pas lisible sur un ordinateur Windows ou Linux.
Pour cela vous utiliserez le programme « Utilitaire de disque », il se trouve dans le dossier « Utilitaires », lui même dans le répertoire « Applications ».
(la fenêtre principale de l’Utilitaire disque)
Dans la colonne de gauche, apparaissent tous les disques durs, vous y trouverez aussi votre clé USB (Formatez la en HF+ si besoin), sélectionnez la puis effectuez ces opérations :
Dans la section droite de la fenêtre cliquez sur l’onglet « effacer ».
Dans le menu déroulant intitulé format sélectionné « Mac OS étendu (sensible à la case, journalisé, chiffré).
(le menu « format » de l’utilitaire disque).
Cette opération effacera complètement le contenu de votre clé USB et à la fin de l’opération le mot de passe qui protégera votre clé vous sera demandé.
(fenêtre de saisie du mot de passe de la clé USB)
Vous aurez ainsi une clé sécurisée protégée par mot de passe mais qui ne fonctionnera que sur Mac OS X.
Attention, Apple n’offre pas de solution en cas de perte du mot de passe.
Remarque : Le menu contextuel qui apparaît avec un clic droit sur l’icône de la clé USB est trompeur, il semble permettre de chiffre la clé (formatée sous PC).
(le menu contextuel sur l’icône de la clé USB au format PC)
Mais l’opération s’interrompt et affiche le message d’alerte suivant.
(Message d’alerte de Mac OS X sur le chiffrement impossible de la clé sous Fat ou Fat32)
Il est indispensable de formater le clé avec l’utilitaire disque.
Le terme «SandBox» est particulièrement utilisé dans le monde Linux. Il se traduit par «bac à sable» et décrit un type de protection lors de l’exécution d’un logiciel.
Imaginons un logiciel qui fonctionne sur un Mac, par défaut ce logiciel a les droits en écriture et lecture qui sont ceux de l’utilisateur qui a lancé le programme. Toujours par défaut, un utilisateur sur Mac peut écrire à volonté dans son dossier personnel (la petit maison blanche) mais dès qu’il veut modifier le contenu d’un répertoire hors de ce dossier il lui faut montrer pâte blanche et indiquer un mot de passe.
Cette approche par «compartiments» fait la force des systèmes Unix et participe à leur réputation. Dans le monde Windows les choses sont beaucoup moins claires.
Revenons sur notre exemple, notre application fonctionne sur votre Mac et un personnage mal intentionné a réussi à utiliser une faille de ce programme et le contrôle maintenant de l’extérieur. Il peut à cet instant détruire les fichiers auxquelles votre application et plus directement votre compte ont accès.
Ce genre d’attaque existe bien, certes elle ne s’applique pas en particulier aux applications lancées sur un ordinateur mais plutôt à des fonctions de» serveur» comme le serveur Internet Apache qui est livré avec Mac OS.
Une première réponse à ce type d’attaque est bien sur l’utilisation d’un «firewall», qui empêcherait l’accès de l’extérieur à ce programme. Mais quand vous mettez en place un serveur, c’est en général pour qu’il soit accessible de l’extérieur. Donc cette réponse n’est pas la plus appropriée.
Une autre solution consiste à «isoler» l’application, c’est à dire qu’elle s’exécute, mais n’a pas accès à certaines ressources de la machine. Prenons de nouveau notre exemple, cette fois imaginons que nous avons un moyen technique qui nous permet d’interdire à l’application toute écriture dans le dossier personnel de l’utilisateur ou dans une autre zone du système. Dans ce cas de figure, peut importe celui qui lance l’application, celle-ci ne peut plus écrire n’importe ou.
Ainsi donc un assaillant ayant pris possession du programme ne peut écrire et donc être nuisible. Cette technique est celle du «bac à sable» parce que l’application ou le serveur ne peut pas accéder au dehors de la zone de sécurité et ceci peu importe celui qui lance le service ou l’application.
Si les SandBox sont très communs sur Linux ou BSD, ils étaient très complexes à mettre en place sur Mac… Sauf depuis Leopard, Apple propose un solution qu’elle appelle ironiquement «SeatBelt» ou «ceinture de sécurité» (ils sont toujours très poétiques à cupertino).
Le problème de cette solution est qu’elle n’est pas documentée et Apple a raison sur ce sujet. Moins ils en diront et moins de personne tenteront de la contourner.
La solution d’Apple n’est pas inconnue des Unixiens, il s’agit de l’utilisation du framework de TrustedBSD et SELinux pour les distributions linux. A une époque Apple a essayé une version dite «SEDarwin» compatible SELinux mais a renoncé à ce projet pour se consacrer à «Seatbelt».
En pratique comment ça marche sur Mac OS X :
les applications qu’Apple a placé dans un Bac à sable sont listées dans le dossier suivant :
/usr/share/sandbox. pour en explorer le contenu dans le terminal lancez cette commande :
Tous les fichiers portent l’extension «.sb». SURTOUT ne modifiez ni ne supprimez ces fichiers. Pour en voir le contenu tapez la commande suivante :
$ cat fontmover.sb
Ce qui affichera le contenu du fichier «fontmover.sb». Ce fichier est divisé en sections :
Dont une section du nom de « (allo file-read* «, celle-ci détermine l’espace ou le chemin dans lequel l’application peut lire de fichiers. Une autre section du nom de « (allow file-write*» précise les dossiers où peuvent être écrits des informations par l’application «fontmover.» et ainsi de suite, le bac à sable est ainsi défini.
Vous pouvez vous interroger sur l’intérêt de cette technologie pour un utilisateur, prenons un programme qui voudrait communiquer avec l’extérieur (comme «Adobe»), il n’est pas possible de leur interdire l’accès au réseau. ( Pour être honnête, il existe une solution avec le firewall IPFW embarqué dans Mac OS, mais là n’est pas le sujet).
Il est possible grâce à ce mécanisme «SeatBelt» et de« SandBoxing » de lui interdire par exemple le réseau . Pour cela l’opération est simple, j’ai pris comme exemple d’interdire à l’Utilitaire Réseau » d’accéder au réseau :
Premièrement nous allons créer un profil, c’est un simple fichier texte. Dans un éditeur de texte «texedit» ou «Bean» tapez ces trois lignes :
(version 1)
(debug deny) (deny network*) (allow default)
La ligne (deny Network*) indique qu’aucun accès au réseau n’est permis à l’application. Vous pouvez ajouter une ligne (deny file-write*) qui interdit l’écriture de fichiers. Vous l’aurez compris l’astérixe signifie «tout».
Enregistrez le tout sous le nom «noreseau.sb» dans votre dossier personnel.
Il faut, si vous souhaiter placer dans un sandbox une application, récupérer son exécutable qui se trouve dans le paquet de l’application. Dans le cas de l’utilitaire réseau le chemin ets : « /Applications/Utilities/Network\ Utility.app/Contents/MacOS/Network\ Utility » .

L’application sera ouverte automatique et ne pourra accéder au réseau. Vous avez là un moyen simple d’empêcher une application d’écrire dans des fichiers ou d’accéder au réseau comme par exemple «Adobe»…
Le fait d’être dans un bac à sable ne dure que le temps ou l’application est ouverte, après sa fermeture elle redémarre hors du « sandbox ».
Le principe du Sandbox n’est pas courant, mais il semble que Google Chrome l’utilise, ceci afin de prévenir des composants qui pourraient être néfastes pour les utilisateurs de ce Butineur.
On ne le dit pas assez souvent mais un mot de passe complexe est indispensable pour protéger vos données et accès sur Internet. Sur ce coup, Apple n’est pas très sympa et ne propose le générateur de mot de passe que lorsqu’il s’agit de définir des mots de passe pour des applications ou utilitaires créés par Apple.
Mais lorsque l’on a besoin d’un mot de passe complexe, il faut se retourner vers un utilitaire. Il en existe plusieurs, passGen est gratuit. Il est disponible sur le Mac Apple Store.
Le mot de passe généré va de 8 à 32 caractères. Il est généré dans sa version standard ou en mode MD5 (parfois utilisé pour vérifier des fichiers).
Un seul regret pour cette application, l’incapacité de choisir la complexité des caractères utilisés, utilisation ou pas des caractères spéciaux, chiffres etc.
A télécharger, l’application est en Français fonctionne très bien.
Le développer indique que la prochaine version (déjà soumise à Apple) permettra :
– Inclure/exclure les chiffres – Inclure/exclure des caractères spécifiques – Elle ajoutera l’affichage en SHA-1 – Elle permettra de convertir un mot de passe (la zone du mot de passe sera saisissable) non généré par l’application en SHA-1 ou MD5. (demande d’utilisateur).
(Les résultats des requêtes http ou Web)
(Les résultats pour 
(écran du terminal affichant la liste des ports TCP/IP ouverts)
(le flux au complet).
(le mail avec le fichier en pièce jointe)
(Les deux actions à ajouter pour supprimer le fichier créé.)
(la fenêtre principale de l’Utilitaire disque)
(fenêtre de saisie du mot de passe de la clé USB)
(le menu contextuel sur l’icône de la clé USB au format PC)
(Message d’alerte de Mac OS X sur le chiffrement impossible de la clé sous Fat ou Fat32)
