Apple : le CERT-FR relaie une faille déjà exploitée (CVE-2026-86950)

Le CERT-FR a publié le 27 octobre 2026 l'avis CERTFR-2026-AVI-1387, qui relaie la vague de bulletins de sécurité Apple du 26 octobre. Parmi la série, CVE-2026-86950 est signalée par Apple comme déjà exploitée — c'est la faille de traitement d'image CoreGraphics dont nous avions suivi le correctif initial. Si vous gérez une flotte Apple, cette mise à jour passe en priorité.

Ce qui est touché

L'avis couvre un périmètre large — l'avis CERT-FR liste environ 200 identifiants CVE issus des bulletins Apple du 26 octobre. Les versions corrigées :

• iOS / iPadOS : antérieures à 18.7.11, 26.7.2 et 27.2
• macOS Sequoia : antérieures à 15.8.2
• macOS Tahoe : antérieures à 26.7.2
• macOS « Golden Gate » : antérieures à 27.2
• Safari, tvOS, visionOS, watchOS : antérieures à 27.2

Les impacts recensés vont de l'exécution de code arbitraire à l'élévation de privilèges, en passant par le contournement de politique de sécurité, le déni de service et l'atteinte à la confidentialité et à l'intégrité des données. Le détail CVE par bulletin figure dans les notes de sécurité Apple.

Statut d'exploitation

Apple indique que CVE-2026-86950 est activement exploitée. C'est le seul élément de la vague marqué comme tel ; le reste relève de la correction préventive. Le CERT-FR ne mentionne pas d'autre exploitation active ni de preuve de concept publique pour les autres CVE de l'avis.

Que faire

1. Déployez les mises à jour Apple du 26 octobre sur l'ensemble du parc : iOS/iPadOS 18.7.11, 26.7.2 ou 27.2 selon la branche, et les macOS correspondants.
2. Priorisez les terminaux mobiles exposés et les postes des profils à risque (direction, journalistes, fonctions sensibles) : une faille déjà exploitée sur CoreGraphics se déclenche typiquement via un fichier image piégé.
3. Via votre MDM, forcez l'installation et vérifiez les versions remontées plutôt que de compter sur la mise à jour automatique.
4. Pour les appareils restés sur une version vulnérable, traitez l'exposition comme potentielle et surveillez les comportements anormaux.

Contexte

La branche iOS 18.7.11 aux côtés des branches 26 et 27 confirme qu'Apple continue de rétroporter les correctifs critiques vers les versions antérieures — utile pour les parcs qui ne peuvent pas basculer immédiatement sur la dernière version majeure. Les failles de traitement d'image (CoreGraphics, ImageIO) restent un vecteur récurrent d'exploitation « zéro-clic » côté Apple : le fichier malveillant arrive par message ou page web et se déclenche au rendu, sans action de la victime. D'où la priorité sur les profils ciblés.