Apple a publié le 26 octobre une grosse salve de mises à jour : iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, mais aussi des versions de maintenance pour les anciens systèmes. Dans les bulletins de sécurité publiés à cette occasion, une ligne retient l’attention des utilisateurs de Mac comme d’iPhone : une faille dans CoreMedia permettait à une application malveillante d’accéder à la caméra sans autorisation. Voici ce que disent précisément les documents d’Apple, quels appareils sont concernés et pourquoi il vaut mieux ne pas repousser l’installation.
Les points :
Une faille CoreMedia qui touchait la caméra #
CoreMedia est le composant qui gère le traitement des flux audio et vidéo dans les systèmes d’Apple. C’est lui qu’utilisent les applications pour lire une vidéo, enregistrer un son ou exploiter la caméra. La vulnérabilité référencée CVE-2026-86990 se situe à cet endroit. Dans le bulletin de sécurité de macOS Golden Gate 27.2, Apple décrit la conséquence en une phrase : « une app malveillante pourrait être en mesure d’accéder à la caméra sans aucune autorisation ». La correction tient en une ligne elle aussi : « un problème d’accès a été résolu par l’application de meilleures restrictions d’accès ».
Concrètement, le système de permissions d’Apple, qui affiche une demande d’autorisation la première fois qu’une application veut utiliser la caméra, pouvait être contourné. La découverte est créditée au chercheur Mustafa Calap, du site dbg.re. Apple ne précise pas si la faille a été exploitée : le bulletin ne contient aucune mention d’attaque observée pour cette vulnérabilité.
À lire MacBook Neo 2 : Apple viserait deux fois plus de ventes en 2027
Un problème présent sur plusieurs générations de systèmes
La même référence CVE apparaît dans plusieurs bulletins publiés le même jour. Sur iPhone et iPad, elle figure dans le bulletin d’iOS 27.2 et iPadOS 27.2, qui couvre l’iPhone 11 et les modèles ultérieurs. Apple y formule le risque ainsi : une app malveillante « peut être en mesure d’accéder à l’appareil photo sans le consentement de l’utilisateur ». On la retrouve aussi dans iOS 26.7.2 et dans iOS 18.7.11, la version destinée aux iPhone XS, XS Max et XR qui ne reçoivent plus les grandes mises à jour.
Côté Mac, la correction est présente dans macOS Golden Gate 27.2 et dans macOS Tahoe 26.7.2. Elle n’apparaît en revanche pas dans le bulletin de macOS Sequoia 15.8.2, ce qui laisse penser que cette version plus ancienne n’était pas concernée par ce défaut précis.
Une salve de correctifs exceptionnellement fournie #
La faille caméra n’est qu’une entrée parmi des centaines. Le bulletin de macOS Golden Gate 27.2 aligne à lui seul plus de deux cents références CVE, réparties entre le noyau, WebKit, le Bluetooth, Siri ou encore la gestion de la photothèque. D’après le décompte de Mac4Ever, l’ensemble des mises à jour du 26 octobre corrige au moins 329 failles distinctes, soit 1 265 références CVE si l’on additionne les différents bulletins. Le site rappelle toutefois que ce chiffre peut évoluer, Apple complétant régulièrement ses documents après publication, et que ces vulnérabilités « ne signifient pas nécessairement que des attaques ont été observées ».
Plusieurs entrées touchent, comme CoreMedia, à la vie privée. Sur macOS Golden Gate, Apple corrige par exemple un défaut dans Siri qui permettait à une app d’accéder aux informations des contacts, et un autre dans le stockage des Photos qui pouvait ouvrir l’accès à la photothèque. Sur iPhone, une entrée concerne une app malveillante capable d’accéder au Bluetooth sans le consentement de l’utilisateur.
Une faille exploitée corrigée sur les anciens iPhone
Le cas le plus sérieux concerne les appareils restés sur iOS 18. Le bulletin d’iOS 18.7.11 corrige une faille de CoreGraphics par laquelle le traitement d’un fichier malveillant pouvait entraîner l’exécution de code arbitraire. Apple y écrit avoir « conscience que cette faille de sécurité a pu être exploitée dans le cadre d’une attaque extrêmement sophistiquée contre des personnes ciblées sous les versions d’iOS antérieures à iOS 27 ». Ce type de formulation désigne en général des logiciels espions visant quelques profils précis, mais c’est un argument de plus pour installer la mise à jour sur un vieil iPhone encore en service dans la famille.
Comment vérifier et installer la mise à jour #
Sur Mac, la mise à jour se trouve dans Réglages Système, rubrique Général puis Mise à jour de logiciels. Si votre machine est restée sur macOS Tahoe, c’est la version 26.7.2 qui doit vous être proposée ; si vous avez déjà franchi le pas de Golden Gate, cherchez la 27.2. Avant de lancer l’installation, une sauvegarde Time Machine récente reste la précaution la plus simple.
Sur iPhone et iPad, le chemin est Réglages, Général, Mise à jour logicielle. Les appareils compatibles avec la dernière génération reçoivent iOS 27.2 ; ceux qui ne le sont plus doivent afficher iOS 18.7.11. Si vous aviez choisi de rester sur iOS 26, la version 26.7.2 contient elle aussi le correctif de la caméra.
Garder la main sur les autorisations de la caméra
Cette faille rappelle l’intérêt de faire régulièrement le tour des permissions accordées. Sur Mac, la liste des applications autorisées à utiliser la caméra se trouve dans Réglages Système, Confidentialité et sécurité, puis Caméra. Sur iPhone, le même réglage se trouve dans Réglages, Confidentialité et sécurité, Caméra. Retirer l’accès à une application que vous n’utilisez plus ne coûte rien, et le voyant vert qui s’allume près de la caméra, sur Mac comme sur iPhone, reste un bon témoin d’une utilisation en cours.
À lire iOS 27.3 et macOS 27.3 : ce que la première bêta change sur iPhone et Mac
Rien n’indique que la faille CoreMedia ait servi à espionner qui que ce soit. Mais une app installée qui aurait pu filmer sans demander la permission, c’est précisément le genre de risque que les mises à jour de sécurité servent à éliminer. Quelques minutes d’installation suffisent pour le fermer.
