CVE-2026-86950 : Apple corrige une faille CoreGraphics exploitée contre des cibles précises sur les iPhone restés sous iOS 26

Rapport CTI technique du 1er octobre 2026

Résumé exécutif

Apple a publié le 28 septembre 2026 des mises à jour pour iOS, iPadOS et macOS qui corrigent CVE-2026-86950, une écriture hors limites dans le composant CoreGraphics. Le traitement d'un fichier malveillant peut conduire à l'exécution de code arbitraire. Apple indique avoir connaissance d'un rapport selon lequel la faille aurait été exploitée dans une attaque très sophistiquée contre des personnes ciblées, sur des versions antérieures à iOS 27. La CISA l'a ajoutée au catalogue KEV le 29 septembre avec une échéance fédérale au 2 octobre.

Le correctif vise les branches maintenues en parallèle d'iOS 27 : iOS et iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1. La découverte est créditée à Meta Product Security. Apple ne donne ni le nombre de cibles, ni la date des premières tentatives, ni le vecteur de livraison. Pour une flotte d'entreprise, le risque se concentre sur les appareils gelés sur iOS 26 par politique MDM ou par incompatibilité applicative, et sur les profils exposés (dirigeants, juristes, journalistes, diplomates).

Chronologie

Fiche vulnérabilité (format fiche CTI)

CVE-2026-86950 | CVSS : non communiqué par Apple dans les sources consultées | CoreGraphics (iOS, iPadOS, macOS)

Description technique : écriture hors limites (CWE-787) dans CoreGraphics, le framework Apple de dessin 2D, de rendu d'images et de traitement PDF. Apple indique avoir corrigé le problème par un meilleur contrôle des bornes. Selon l'analyse de Calif, CoreGraphics est la seule bibliothèque modifiée dans iOS 26.7.1 et le bug se situe dans la rastérisation des glyphes de police : un calcul de coordonnées incohérent entre deux fonctions conduit à un tampon de travail sous-dimensionné.

Conditions d'exploitation : traitement d'un fichier malveillant (un PDF contenant une police intégrée dans la preuve de concept). Le chemin testé par Calif est celui de la génération de miniatures via ImageIO, utilisé quand une application affiche l'aperçu d'une pièce jointe. Exploitation constatée sur des versions antérieures à iOS 27, dans un contexte ciblé.

PoC disponible : oui, partiellement. Calif a publié le 30 septembre un générateur et un PDF d'exemple qui font planter iOS et macOS non corrigés. Le PoC démontre une écriture hors limites contrôlée, pas une exécution de code : la transformation en exploit complet n'est pas publique, et Calif n'a pas obtenu l'échantillon utilisé en conditions réelles.

Patch/mitigation :

Apple ne liste pas iOS 27 ni macOS Golden Gate 27 comme affectés. Aucun contournement n'est décrit. Le mode Isolement (Lockdown Mode) réduit la surface de traitement automatique des contenus pour les profils à risque, mais Apple n'a pas dit s'il aurait bloqué le vecteur utilisé.

Analyse technique

Étape 1 : sélection des cibles

Apple parle d'individus spécifiquement visés. Ce profil correspond aux campagnes de surveillance commerciale ou étatique observées ces dernières années sur iOS : peu de victimes, forte valeur de renseignement, chaîne coûteuse à développer et donc réservée à des cibles choisies.

Étape 2 : livraison d'un fichier piégé

La faille se déclenche au traitement d'un fichier. Apple ne dit pas par quel canal il arrive. Calif a relevé que WhatsApp 26.38.74 ajoute à son scanner de pièces jointes Kaleidoscope trois marqueurs de polices suspectes dans les PDF, et qu'un fichier marqué n'est plus analysé automatiquement. C'est un indice circonstanciel, rien de plus : Calif a retiré sa phrase sur un chemin zero-click WhatsApp, Meta n'a pas répondu et WhatsApp n'a publié aucun avis lié. Le précédent d'août 2025 (une faille WhatsApp combinée à une écriture hors limites Apple contre moins de 200 cibles) rend néanmoins l'hypothèse crédible.

Étape 3 : corruption mémoire dans CoreGraphics

Le PoC public s'arrête au plantage. Dans l'attaque réelle, l'opérateur a dû transformer cette écriture hors limites en exécution de code, puis, sur iOS, sortir du bac à sable du processus de rendu, ce qui demande souvent une seconde faille. Apple ne publie pas d'autre CVE liée à cette campagne dans le même bulletin.

Étape 4 : objectifs probables

Sans rapport technique public, les objectifs restent hypothétiques. Dans les campagnes ciblées comparables, l'accès sert à l'implantation d'un logiciel espion et à l'exfiltration de messages, de contacts et de données de localisation.

Indicateurs de compromission

Aucun indicateur technique n'a été rendu public. Pour un appareil suspect, une analyse forensique hors ligne (sauvegarde chiffrée, sysdiagnose) reste la seule approche réaliste.

MITRE ATT&CK

Aucune cartographie officielle n'existe dans les sources. Lecture technique construite à partir des éléments confirmés (cadre Mobile).

Remédiation : checklist opérationnelle

1. Pousser iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1 via le MDM, avec une date limite courte.
2. Lister dans le MDM les appareils bloqués sur iOS 26 et traiter en premier ceux des profils exposés.
3. Activer le mode Isolement pour les dirigeants, juristes, équipes de négociation et personnels en déplacement à l'étranger.
4. Bloquer l'accès aux ressources d'entreprise (accès conditionnel) pour les versions non corrigées.
5. Rappeler aux utilisateurs exposés de ne pas ouvrir de documents reçus de contacts inconnus avant mise à jour.
6. Pour tout appareil suspect, conserver une sauvegarde chiffrée et un sysdiagnose avant réinitialisation, et solliciter une analyse forensique.

Sources

• The Hacker News : Apple Patches CoreGraphics Flaw Possibly Exploited in Targeted Attacks
• The Hacker News : Apple CoreGraphics PoC Emerges as WhatsApp PDF Checks Hint at Possible Delivery Path
• Calif : The Great Glyph Grift
• Apple : iOS 26.7.1 et iPadOS 26.7.1
• Apple : macOS Tahoe 26.7.1
• Apple : macOS Sequoia 15.8.1
• CISA : ajout au catalogue KEV, 29 septembre 2026
• BleepingComputer : Apple patches CoreGraphics zero-day flaw exploited in attacks