Encore sous iOS 16 ? Des pirates exploitent une faille Safari de 2024 sur de vieux iPhone

Le 4 novembre 2026, l'agence américaine Cybersecurity and Infrastructure Security Agency a ajouté CVE-2024-27834, une faille d'Apple WebKit, à son catalogue Known Exploited Vulnerabilities. Les agences fédérales américaines ont jusqu'au 18 novembre 2026 pour la corriger. CISA liste le produit concerné comme Apple « Multiple Products ».

La faille date de 2024. Apple l'a corrigée le 13 mai 2024 dans iOS 17.5 et Safari 17.5, ainsi que dans iOS 16.7.8 pour les anciens iPhone 8, iPhone 8 Plus et iPhone X. Elle refait parler d'elle parce que des attaquants l'utilisent encore contre des téléphones qui n'ont jamais installé cette mise à jour. Le correctif existe depuis plus de deux ans. Les téléphones touchés sont ceux qui ont cessé d'être mis à jour avant mai 2024.

Résumé rapide avant les détails :

• Si votre iPhone 8, 8 Plus ou X tourne sous iOS 16.7.8 ou une version ultérieure, cette chaîne d'attaque précise ne fonctionne pas sur lui.
• S'il s'est arrêté à iOS 16.7.7 ou avant, vous êtes concerné et vous devriez faire la mise à jour aujourd'hui.
• Si vous utilisez une ancienne version de Chrome sur Android, une attaque similaire vous concerne aussi. Chrome 146 ou une version ultérieure la corrige.

Qu'a ajouté la CISA le 4 novembre, et pourquoi une faille de 2024 revient-elle ?

La faille se trouve dans WebKit, le moteur de navigateur qui propulse Safari et la plupart des navigateurs sur iPhone. Elle permet à un attaquant qui dispose déjà d'un accès en lecture et en écriture à la mémoire de contourner Pointer Authentication, une défense de l'iPhone. Apple crédite Manfred Paul, en collaboration avec la Zero Day Initiative de Trend Micro. Vous pouvez consulter les notes de correctif d'Apple pour iOS 17.5 et pour iOS 16.7.8.

La campagne à l'origine de l'ajout par la CISA a été documentée par Sekoia, une société française de sécurité, dans un rapport publié le même jour. Nous détaillons ce qu'elle a fait dans les sections suivantes.

Quels téléphones sont concernés ?

Les chaînes d'attaque documentées par Sekoia se distinguent par appareil et par version logicielle. La chaîne iPhone construite autour de CVE-2024-27834 ne fonctionne que sur des téléphones bloqués à iOS 16.7.7 ou antérieur, car Apple a corrigé cette faille dans iOS 16.7.8 dès mai 2024. Une deuxième chaîne iPhone cible iOS 18.5, et une troisième cible Chrome sur Android, précisément les versions 139 à 145.

Une réserve s'applique à l'iPhone 8, 8 Plus et X. Ces téléphones reçoivent des correctifs occasionnels sur iOS 16, pas tous les correctifs. Un téléphone entièrement mis à jour en iOS 16.7.16 casse la chaîne A, mais il peut encore comporter d'autres bugs WebKit corrigés dans les versions plus récentes d'iOS. Cela limite l'usage qu'on peut en faire, ce que nous détaillons ci-dessous.

Comment une simple visite de site web a-t-elle pu devenir une attaque ?

La méthode s'appelle un watering hole. Plutôt que d'envoyer un lien ou un message aux cibles, les attaquants implantent du code sur des sites que ces cibles sont susceptibles de consulter. Vous naviguez vers un site de confiance, et c'est ce site qui sert l'exploit.

Sekoia a documenté les sites impliqués dans cette campagne. Il ne s'agissait pas de sites d'actualité. La liste comptait des pages légitimes piratées : une entreprise ukrainienne de production de gaz, une association professionnelle américaine de l'industrie chimique, un parti politique tchèque et un site bulgare lié à l'armée. S'y ajoutaient deux domaines imitant des sites existants, l'un copiant le site anniversaire américain America250, l'autre un hôtel de luxe londonien. Un script d'analyse web ukrainien piraté, Plerdy, était présent sur des milliers de sites principalement ukrainiens du 27 août au 3 septembre 2026. Les pays touchés étaient les États-Unis, l'Ukraine, la Tchéquie et la Bulgarie, plus le Royaume-Uni via le faux site de l'hôtel.

Deux détails comptent surtout pour qui lit ces lignes sur un téléphone :

• Aucun appui n'était nécessaire. Sekoia indique que les exploits étaient servis sans interaction de l'utilisateur. Charger la page suffisait.
• Rien ne subsistait sur le téléphone après un redémarrage. Il n'y avait aucune persistance.

Sekoia relie cette campagne, avec une confiance modérée à élevée, à APT29, un groupe que la société note être largement associé au service de renseignement extérieur russe. L'attribution mise à part, la leçon pratique est la même que dans notre article de 2018 sur Safari et WebKit : un navigateur à jour fait la différence entre une page hostile et une page inoffensive. La conclusion de Sekoia elle-même est qu'un utilisateur disposant d'un système d'exploitation à jour est à l'abri de ces attaques, chaque faille ayant été corrigée par l'éditeur avant le début de la campagne.

Un iPhone 8 ou iPhone X est-il sûr une fois mis à jour ?

En grande partie. La chaîne A nécessite deux failles qui fonctionnent ensemble. L'une d'elles, CVE-2024-27834, a été corrigée dans iOS 16.7.8 le 13 mai 2024, selon les notes d'Apple. Un téléphone sous iOS 16.7.8 ou version ultérieure, y compris l'actuelle iOS 16.7.16, casse donc cette chaîne. L'attaque ne fonctionne pas dessus.

La limite vient de l'autre faille de la chaîne, CVE-2025-43529. Les notes d'Apple listent un correctif pour iOS 18 et iOS 26, mais aucun pour iOS 16. Un iPhone 8 ou X entièrement mis à jour bloque donc cette campagne, mais il peut encore comporter d'autres bugs de WebKit que les iPhone plus récents n'ont plus. iOS 16 reçoit des correctifs occasionnels, pas tous, et l'écart avec la version actuelle d'iOS grandit avec le temps.

Ce que cela signifie en pratique :

• Un téléphone sous iOS 16.7.7 ou antérieur est exposé à la chaîne A. Passez à iOS 16.7.16 dès aujourd'hui, dans Réglages, puis Général, puis Mise à jour logicielle.
• Un téléphone sous iOS 16.7.16 est à l'abri de cette campagne mais ne doit pas être considéré comme entièrement corrigé. Gardez-le pour les appels, les messages et la navigation, et déplacez vos comptes bancaires et professionnels vers un téléphone plus récent.
• Un téléphone qui ne reçoit plus aucune mise à jour doit être mis à la retraite. Il accumulera des failles de navigateur non corrigées.

La version actuelle d'iOS 16, la 16.7.16, est arrivée le 11 mai 2026, selon les notes de version d'Apple.

Et les téléphones Android et Chrome ?

La troisième chaîne cible Android, pas iOS. Elle combine CVE-2026-3910, une faille dans Chrome, avec CVE-2025-27038, une faille dans un pilote graphique Qualcomm. D'après Sekoia, elle récupère les cookies Chrome, les identifiants enregistrés, l'historique de navigation et les paramètres Wi-Fi.

La faille de Chrome a été corrigée le 12 mars 2026 dans Chrome 146 sur ordinateur et sur Android. Google indiquait à l'époque qu'un exploit existait dans la nature. Cela signifie que la même règle s'applique ici : les téléphones touchés sont ceux qui exécutent Chrome 139 à 145, des versions qui ont cessé d'être mises à jour avant mars 2026.

Deux mises à jour distinctes comptent sur Android, et elles n'arrivent pas en même temps :

• Le navigateur : ouvrez le Play Store, cherchez Chrome et touchez Mettre à jour. Vous pouvez vérifier la version installée dans les paramètres de Chrome, puis À propos de Chrome. Vous voulez la version 146 ou ultérieure.
• Le système d'exploitation : la faille du pilote Qualcomm se corrige via les mises à jour du système Android, dans les paramètres, puis Système ou Mise à jour logicielle. Un Chrome à jour sur un système Android non corrigé garde la seconde moitié de la chaîne.

Que la correction du pilote arrive sur un téléphone donné dépend de son fabricant et de l'envoi des mises à jour système. Un téléphone qui n'en reçoit aucune devrait être mis à la retraite, comme un vieil iPhone. Le risque se concentre sur les téléphones dont les propriétaires n'installent jamais les mises à jour qu'ils reçoivent, un schéma qu'on retrouve dans les trois chaînes de cette campagne. Si votre Chrome est resté bloqué sur la version 145 ou inférieure pendant des mois, prenez cela comme un rappel de vérifier les mises à jour dès aujourd'hui.

Que faire aujourd'hui ?

Les correctifs sont de simples mises à jour, et chaque faille de cette campagne a été corrigée par l'éditeur avant le début des attaques.

• Sur un iPhone, ouvrez Réglages, puis Général, puis Mise à jour logicielle, et installez ce qui est proposé. Les propriétaires d'iPhone 8, 8 Plus et X doivent passer à iOS 16.7.16 ou une version ultérieure.
• Sur Android, ouvrez le Play Store, cherchez Chrome et appuyez sur Mettre à jour. Vérifiez le résultat dans les réglages de Chrome, puis dans À propos de Chrome. Vous devez avoir la version 146 ou une version ultérieure.
• Installez les mises à jour du système Android séparément, dans Réglages, puis Système ou Mise à jour logicielle. La mise à jour du navigateur seule ne ferme pas toute la chaîne.
• Si votre téléphone ne reçoit plus aucune mise à jour, cessez de l'utiliser pour la banque, les comptes professionnels et les achats en ligne. Déplacez ces comptes vers un appareil qui reçoit encore des correctifs.
• Si vous utilisez un iPhone 8, 8 Plus ou X pour quoi que ce soit de sensible, commencez à prévoir son remplacement. Des correctifs occasionnels ne valent pas un suivi complet.
• Sekoia n'a trouvé aucune persistance, donc rien ne reste sur le téléphone après un redémarrage, mais les cookies déjà volés le restent ; si un téléphone non corrigé a pu charger une de ces pages, déconnectez toutes les sessions de vos comptes importants puis reconnectez-vous.

Rien de tout cela n'est neuf. C'est la même routine que nous décrivions dans notre article de 2014 sur une faille SSL d'Apple : vérifier les mises à jour, les installer, recommencer. Notre centre de ressources sur la sécurité mobile rassemble davantage de ces bases au même endroit.

Un VPN peut-il vous protéger d’une faille de navigateur ?

Non. Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP auprès des sites que vous visitez. Il vous sécurise sur le Wi-Fi public, sujet traité dans notre article sur le Wi-Fi public. Il ne corrige ni Safari ni Chrome, et il n’inspecte pas les pages que vous chargez.

Les failles exploitées dans cette campagne sont arrivées par le navigateur lui-même. Si une page piégée sert une faille, celle-ci arrive dans le tunnel chiffré comme le reste de la page. Le VPN ne voit qu’un flux de trafic chiffré vers un serveur ; il n’a aucun moyen de distinguer une page hostile d’une page inoffensive. Le chiffrement protège les données en transit, pas le code que votre navigateur exécute une fois celui-ci arrivé.

Là où un VPN aide, c’est pour le reste de votre usage mobile. Sur le Wi-Fi d’un hôtel, d’un aéroport ou d’un café, il tient votre trafic à l’écart des autres personnes présentes sur ce réseau. C'est le cas d'usage décrit dans notre article sur le Wi-Fi public. C’est un problème différent de celui exploité par cette campagne.

Les deux couches ont des rôles différents. Les mises à jour ferment les failles dont les attaques par navigateur dépendent. Un VPN protège votre trafic sur les réseaux que vous ne contrôlez pas. Un VPN est une couche, les mises à jour sont l’autre.