Le 29 septembre 2026, la CISA a ajouté CVE-2026-86950 à son catalogue KEV : une écriture hors limites dans CoreGraphics, le moteur de rendu graphique 2D d'Apple, sur iOS, iPadOS et macOS. Elle peut mener à une exécution de code arbitraire, et elle est exploitée. Échéance de remédiation : 13 octobre.
| Champ | Valeur |
|---|---|
| Produits | Apple iOS, iPadOS, macOS |
| Composant | CoreGraphics |
| Nature (CISA) | Out-of-bounds write |
| Ajout KEV | 2026-09-29 |
| Échéance CISA | 2026-10-13 |
| CVSS / vecteur NVD | non publié |
| Versions NVD | non publiées |
NVD n'a pas encore publié de score, de vecteur ni de versions à la date de rédaction. Je m'appuie uniquement sur la fiche CISA. Pour les versions corrigées, la référence est la page des notes de sécurité Apple (« À propos du contenu de sécurité ») pour chaque système : je ne vais pas inventer de numéro de version.
Ce que dit la CISA
Apple iOS, macOS, and iPadOS contain an out-of-bounds write vulnerability in CoreGraphics that may lead to arbitrary code execution.
Une écriture hors limites, c'est un programme qui écrit au-delà de la zone mémoire qui lui est allouée. Dans un composant qui interprète des données venues de l'extérieur, c'est la classe de faille qui permet le plus directement de détourner l'exécution.
Pourquoi CoreGraphics est une surface d'attaque sensible
CoreGraphics (Quartz 2D) dessine les images, les PDF et une bonne partie de l'interface sur tous les systèmes Apple. Il est sollicité dès qu'une application affiche un contenu graphique — et ce contenu vient souvent de l'extérieur : pièces jointes, pages web, documents, messages.
Ce qui rend ces failles précieuses pour un attaquant, c'est cette omniprésence : le code vulnérable est présent sur tous les appareils, dans un composant que l'utilisateur ne voit jamais et ne peut pas désactiver.
La CISA ne précise pas le vecteur d'exploitation (fichier piégé, interaction requise ou non), ni le profil des cibles. Je ne vais pas le deviner. Historiquement, les failles Apple de ce type exploitées dans la nature ont souvent servi dans des attaques ciblées : dirigeants, journalistes, profils à accès sensible. Ça ne veut pas dire que ce soit le cas ici, mais ça justifie de traiter en priorité les appareils de ces populations.
Versions
Rien côté NVD à la date de rédaction. Concrètement :
- consulte les notes de sécurité Apple et repère la mise à jour qui mentionne CVE-2026-86950 pour iOS, iPadOS et macOS
- vérifie si Apple a aussi publié un correctif pour les branches plus anciennes (versions précédentes d'iOS ou de macOS encore supportées) : les appareils qui ne peuvent pas passer à la dernière version majeure en dépendent
- un appareil qui n'est plus supporté ne recevra pas le correctif : il doit sortir de l'usage professionnel
Détection
Sur ce type de faille, la détection côté poste est difficile : l'exploitation se passe dans la mémoire d'un processus système. Ce qui est réaliste :
- Inventaire des versions via ta solution MDM : c'est le vrai indicateur, appareil par appareil
- Rapports de plantage inhabituels de processus de rendu ou de prévisualisation, remontés par la MDM ou visibles dans les journaux système
- Pour les profils à risque, les notifications de menace envoyées par Apple aux utilisateurs ciblés, si l'un d'eux en signale une
Mitigation
- Mettre à jour iOS, iPadOS et macOS vers les versions qui corrigent CVE-2026-86950 selon les notes de sécurité Apple. Échéance CISA : 13 octobre.
- Imposer la mise à jour via la MDM, avec une date limite, plutôt que de laisser l'utilisateur repousser indéfiniment.
- Commencer par les populations exposées : direction, communication, juridique, administrateurs, et tous les utilisateurs nomades.
- Activer le mode Isolement (Lockdown Mode) pour les profils à très haut risque : il réduit la surface d'attaque en limitant le traitement de certains contenus.
- Retirer ou isoler les appareils qui ne reçoivent plus de mises à jour.
Pourquoi surveiller en continu votre flotte Apple
Les postes et téléphones sont rarement dans l'inventaire de vulnérabilités, alors qu'ils traitent chaque jour des contenus venus de l'extérieur. Une faille exploitée dans un composant graphique du système, c'est exactement le scénario où il faut savoir en quelques minutes quels appareils sont en retard.
Avec cveo.tech, inventorie tes systèmes avec leur version, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.