Correctifs macOS et iOS d’octobre 2026 : faille CoreGraphics CVE-2026-86950 exploitée, versions à installer

La réponse courte : le 26 octobre 2026, Apple a publié un lot de correctifs de sécurité pour macOS, iOS, iPadOS, Safari, watchOS, tvOS et visionOS. Le point le plus urgent est CVE-2026-86950, une faille du composant CoreGraphics qui permet d’exécuter du code à l’ouverture d’un fichier piégé. Apple signale qu’elle a pu être exploitée dans des attaques ciblées, et la CISA l’a inscrite à son catalogue des vulnérabilités exploitées. Installez macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 ou macOS Golden Gate 27.2, et iOS ou iPadOS 18.7.11, 26.7.2 ou 27.2 selon l’appareil, puis vérifiez la version réellement installée sur chaque poste et chaque téléphone.

Au Maroc, les Mac sont courants dans les agences de communication, les cabinets d’architecture et les directions, et les iPhone servent souvent de téléphone professionnel avec messagerie et documents de l’entreprise. Le maCERT de la DGSSI a classé ce lot à un niveau de risque critique dans son bulletin du 27 octobre 2026. Voici ce que disent les sources officielles et les contrôles à mener.

Ce qui est touché

La faille exploitée, CVE-2026-86950 (CoreGraphics). Selon Apple, le traitement d’un fichier malveillant peut conduire à l’exécution de code arbitraire ; il s’agit d’une écriture hors limites, corrigée par un meilleur contrôle des limites. Apple l’a corrigée le 28 septembre 2026 dans iOS et iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1. Le lot du 26 octobre étend ce correctif aux appareils restés sous iOS et iPadOS 18, avec la version 18.7.11.

Le reste du lot du 26 octobre. Les bulletins d’Apple listent un grand nombre de failles corrigées. Parmi elles :

• CVE-2026-86990 (CoreMedia) : une application malveillante peut accéder à la caméra sans l’autorisation de l’utilisateur, sur iPhone, iPad et Mac.
• CVE-2026-112438 (noyau macOS) : un attaquant sans privilège peut exécuter du code avec les droits root.
• CVE-2026-112690 : un attaquant distant peut sortir du bac à sable qui isole le contenu web.
• Plusieurs failles WebKit, le moteur de Safari, déclenchées par du contenu web piégé.

Produit	Versions touchées	Version corrigée
macOS Tahoe	antérieures à 26.7.1 pour CVE-2026-86950, antérieures à 26.7.2 pour le lot d’octobre	26.7.2
macOS Sequoia	antérieures à 15.8.1 pour CVE-2026-86950, antérieures à 15.8.2 pour le lot d’octobre	15.8.2
macOS Golden Gate	antérieures à 27.2 (CVE-2026-86950 non listée)	27.2
iOS et iPadOS 27	antérieures à 27.2 (CVE-2026-86950 non listée)	27.2
iOS et iPadOS 26	antérieures à 26.7.1 pour CVE-2026-86950, antérieures à 26.7.2 pour le lot d’octobre	26.7.2
iOS et iPadOS 18 (iPhone XS, XS Max, XR, certains iPad)	antérieures à 18.7.11	18.7.11
Safari	antérieures à 27.2	27.2

Sources : bulletins de sécurité Apple du 28 septembre et du 26 octobre 2026, NVD, bulletin maCERT 67052710/26.

Gravité et exploitation

• Exploitation : Apple indique avoir connaissance d’un signalement selon lequel CVE-2026-86950 pourrait avoir été exploitée dans une attaque extrêmement sophistiquée contre des personnes ciblées, sur des versions d’iOS antérieures à iOS 27. La faille est créditée à l’équipe Meta Product Security.
• CISA : la faille figure au catalogue KEV depuis le 29 septembre 2026, sous le nom « Apple Multiple Products Out-of-Bounds Write Vulnerability », avec une échéance de correction au 13 octobre 2026 pour les agences fédérales américaines.
• Gravité publiée : la NVD affiche un score CVSS v3.1 de 8.8 (élevé), fourni par la CISA, avec une interaction de l’utilisateur requise.
• maCERT (DGSSI) : le bulletin 68912909/26 du 29 septembre qualifie la faille d’activement exploitée, et le bulletin 67052710/26 du 27 octobre classe l’ensemble du lot Apple à un niveau de risque et d’impact critique.

Les mesures d’attente

Les bulletins d’Apple ne décrivent aucune solution de contournement : seule la mise à jour corrige. Si certains appareils ne peuvent pas être mis à jour immédiatement :

1. Rappeler la prudence face aux fichiers : la faille exploitée se déclenche au traitement d’un fichier piégé. Pièces jointes inattendues, fichiers reçus par messagerie instantanée ou téléchargés depuis un lien inconnu doivent être évités jusqu’à la mise à jour. Notre guide sur les arnaques par phishing qui visent les PME au Maroc donne les réflexes à transmettre.
2. Prioriser les profils exposés : dirigeants, direction financière, assistants de direction et toute personne qui manipule des données sensibles sur son iPhone ou son Mac passent en premier.
3. Restreindre l’accès : un appareil qui reste en version vulnérable ne devrait plus accéder à la messagerie ni aux documents de l’entreprise tant qu’il n’est pas à jour.

Les vérifications à faire

• Inventorier les appareils Apple : Mac, iPhone et iPad société, mais aussi les appareils personnels qui accèdent à la messagerie professionnelle.
• Contrôler la version installée, pas seulement la notification : une mise à jour téléchargée mais pas installée ne protège pas. Vérifiez le numéro de version affiché par chaque appareil ou remonté dans votre console de gestion.
• Repérer les appareils bloqués : un iPhone XS ou XR doit être en iOS 18.7.11 ; un appareil qui ne reçoit plus aucune version de sécurité doit être remplacé ou retiré des accès professionnels.
• Utiliser la console de gestion : un MDM pour les smartphones de l’entreprise permet de voir en un coup d’œil la version de chaque appareil et, pour les appareils supervisés, d’imposer la mise à jour. La même logique de conformité s’applique aux postes, comme nous le décrivons pour Microsoft Intune dans les PME.
• Ne pas oublier Safari : Apple publie Safari 27.2 dans un bulletin distinct ; vérifiez sa version sur chaque Mac après la mise à jour du système.

Notre lecture pour les entreprises au Maroc

La faille exploitée vise, selon Apple, des personnes ciblées : ce n’est pas une campagne de masse, mais ce sont justement les dirigeants et les fonctions sensibles qui sont visés par ce type d’attaque. Le risque le plus fréquent que nous constatons est le téléphone du dirigeant, géré par personne, qui reporte les mises à jour depuis des semaines, et le Mac du service créatif hors de tout inventaire.

Une alerte de ce type rappelle trois fondamentaux : un inventaire complet du parc avec suivi des versions, une supervision et un EDR managés 24/7 pour détecter un comportement anormal, et une politique de mise à jour écrite. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent par ailleurs de traiter les bulletins du maCERT.

Comment nous pouvons vous aider

Nous inventorions vos Mac, iPhone et iPad, déployons les mises à jour depuis une console de gestion, contrôlons la conformité de chaque appareil et mettons en place la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : mises à jour de sécurité Apple, macOS Tahoe 26.7.1, macOS Sequoia 15.8.1, iOS 26.7.1, iOS 18.7.11, macOS Golden Gate 27.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2, iOS 27.2, iOS 26.7.2, catalogue CISA KEV, NVD CVE-2026-86950, bulletin maCERT du 27 octobre 2026, bulletin maCERT du 29 septembre 2026.