Apple vient de publier le détail des correctifs de sécurité intégrés à macOS 27 Golden Gate, macOS Tahoe 26.7 et macOS Sequoia 15.8. Et la liste est particulièrement longue : plus de 200 vulnérabilités ont été corrigées, dont certaines pouvaient permettre l’exécution de code avec les privilèges les plus élevés du système.
DES CENTAINES DE VULNÉRABILITÉS CORRIGÉES
Quelques heures après la sortie de ses nouveaux systèmes, Apple a finalement détaillé le contenu de leurs correctifs de sécurité. Et si macOS 27 Golden Gate apporte évidemment de nombreuses nouveautés, la sécurité constitue également une bonne raison de procéder à la mise à jour.
Apple répertorie plus de 200 vulnérabilités corrigées dans Golden Gate. Certaines sont relativement classiques, mais d’autres auraient pu permettre à une application malveillante ou à un attaquant de contourner les protections de macOS, sortir de la sandbox, accéder à des données sensibles ou encore modifier des fichiers normalement protégés du système. Notons que plusieurs failles pouvaient conduire à l’exécution de code avec les privilèges root ou kernel, c’est-à-dire à des niveaux donnant un contrôle particulièrement important sur la machine.
BLUETOOTH, WEBDAV, CUPS… PLUSIEURS PORTES D’ENTRÉE
Les vulnérabilités concernent de nombreux composants de macOS. Une faille touchant AVEVideoEncoder pouvait par exemple permettre à une application pourtant enfermée dans la sandbox d’exécuter du code avec les privilèges du noyau. Une autre, présente dans le système de fichiers UDF, pouvait aboutir au même résultat.
Cupertino a également corrigé des vulnérabilités susceptibles de permettre une exécution de code à distance, notamment via Bluetooth, CUPS — le système d’impression utilisé par macOS — ou encore WebDAV. D’autres correctifs concernent Gatekeeper, dont le rôle est justement d’empêcher l’exécution de logiciels potentiellement dangereux.
Autrement dit, il ne s’agit pas uniquement de petits bugs théoriques : certaines failles touchaient directement plusieurs des mécanismes utilisés par macOS pour isoler les applications et protéger le système.
APPLE PROTÈGE AUSSI SES "VIEUX" MAC
Bonne nouvelle pour ceux qui ne souhaitent pas encore installer macOS 27 : Apple a également corrigé une grande partie de ces vulnérabilités dans macOS Tahoe 26.7 et macOS Sequoia 15.8. En effet, ces deux mises à jour ont été publiées en parallèle de Golden Gate. Elles corrigent notamment plusieurs failles permettant une élévation des privilèges, une sortie de la sandbox, un contournement de Gatekeeper ou une exécution de code à distance.
Certaines corrections sont même propres aux anciens systèmes. Sous macOS Sequoia 15.8, Apple corrige par exemple une vulnérabilité d’ImageIO permettant potentiellement d’exécuter du code arbitraire simplement en traitant une image spécialement conçue à cet effet. Pour les propriétaires d’un Mac Intel, la mise à jour est d’autant plus importante que macOS 27 Golden Gate est désormais réservé aux Mac Apple Silicon.
ET IOS ?
En parallèle, l’iPhone n’échappe pas à cette importante série de correctifs. iOS 27 corrige à lui seul plus de 100 vulnérabilités de sécurité, dont plusieurs touchent directement le noyau du système. L’une d’elles pouvait permettre à une application malveillante d’obtenir les privilèges root, tandis qu’une autre ouvrait la voie à une exécution de code à distance via Bluetooth.
Ceux qui préfèrent rester encore quelque temps sous iOS 26 ne sont pas oubliés : iOS 26.7 corrige plus de 80 failles, dont 75 sont communes avec iOS 27. Apple précise qu’aucune de ces vulnérabilités n’est, à sa connaissance, activement exploitée, mais leur publication rend évidemment la mise à jour d’autant plus recommandée.
L’IA AIDE AUSSI À TROUVER LES FAILLES
Autre détail intéressant dans les remerciements publiés par Apple : une fois encore, les outils d’intelligence artificielle prennent une place de plus en plus importante dans la recherche de vulnérabilités.
Parmi les chercheurs et équipes crédités apparaissent notamment OpenAI Codex Security, NVIDIA AI Red Team et Anthropic Research. Ce n’est d’ailleurs pas une première : lors de précédentes mises à jour, Apple avait déjà crédité OpenAI Codex Security pour la découverte de nombreuses vulnérabilités de WebKit, ainsi que des chercheurs travaillant avec Claude.
QU’EN PENSER ?
Plus de 200 vulnérabilités corrigées ne signifie pas que chacune d’entre elles représente une menace immédiate pour tous les utilisateurs. Mais le nombre et surtout la nature de certaines failles justifient de ne pas trop repousser ces mises à jour. Et il n’est pas nécessaire d’adopter Golden Gate pour en profiter. Ceux qui préfèrent patienter peuvent installer macOS Tahoe 26.7 ou Sequoia 15.8 et bénéficier d’une grande partie de ces correctifs. Une précaution particulièrement recommandée pour les Mac Intel, désormais définitivement exclus des nouvelles versions majeures de macOS.
