iOS 18.7.11 corrige une faille exploitée sur iPhone XS et XR

Apple a publié le 26 octobre iOS 18.7.11 et iPadOS 18.7.11, une mise à jour de sécurité destinée aux appareils restés sur la branche 18, au premier rang desquels les iPhone XS, XS Max et XR. Elle corrige trois vulnérabilités, dont une faille de CoreGraphics qu'Apple dit avoir pu être exploitée dans une attaque « extrêmement sophistiquée » contre des personnes ciblées. Les propriétaires de ces modèles ont tout intérêt à l'installer sans attendre.

Une faille CoreGraphics déjà exploitée

La vulnérabilité la plus sérieuse porte l'identifiant CVE-2026-86950. Elle touche CoreGraphics, le moteur de rendu graphique 2D du système. Selon le bulletin de sécurité d'Apple, le traitement d'un fichier malveillant peut conduire à l'exécution de code arbitraire. Il s'agit d'une écriture hors limites (out-of-bounds write), corrigée par un meilleur contrôle des bornes.

Apple indique avoir connaissance d'un rapport selon lequel cette faille « a pu être exploitée dans une attaque extrêmement sophistiquée contre des personnes spécifiquement ciblées sur des versions d'iOS antérieures à iOS 27 ». La découverte est créditée à l'équipe Meta Product Security. Comme à son habitude, Apple ne donne aucun détail sur les attaquants, les victimes ou la chronologie. Ce type de formulation désigne en général des campagnes d'espionnage visant un petit nombre de personnes, plutôt qu'une exploitation de masse.

Deux autres correctifs

Le bulletin mentionne deux autres failles, sans indication d'exploitation :

• CVE-2026-65339 (Audio) : un problème de logique pouvait permettre à une application de divulguer des informations sensibles de l'utilisateur. Il a été signalé par Mustafa Calap et par Nik Tsytsarkin (Meta Red Team X) ;
• CVE-2026-86990 (CoreMedia) : une application malveillante pouvait accéder à la caméra sans l'autorisation de l'utilisateur, un défaut corrigé par des restrictions d'accès renforcées.

Quels appareils sont concernés ?

La mise à jour vise l'iPhone XS, l'iPhone XS Max, l'iPhone XR et l'iPad de 7e génération. Le bulletin d'Apple liste aussi les iPad Air de 4e génération et plus récents, les iPad de 9e génération et plus récents et les iPad mini de 6e génération et plus récents, pour ceux qui sont restés sous iPadOS 18.

Les iPhone XS et XR ne sont pas compatibles avec iOS 26, réservé à l'iPhone 11 et aux modèles plus récents. Pour eux, la branche 18 est la seule voie de mise à jour, et ce correctif montre qu'Apple continue de la maintenir pour les failles les plus graves.

Le même jour, une salve de mises à jour

Apple a publié le même 26 octobre iOS 27.2, iOS 26.7.2, macOS Golden Gate 27.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 ainsi que les versions 27.2 de tvOS, watchOS, visionOS et Safari. Les bulletins d'iOS 27.2 et d'iOS 26.7.2, qui corrigent chacun plus d'une centaine de vulnérabilités, ne mentionnent ni CVE-2026-86950 ni faille exploitée.

Pour les utilisateurs d'iPhone récents, la question du choix de branche reste ouverte, comme nous l'expliquions à propos de la mise en avant d'iOS 27 sur les iPhone. Mais quelle que soit la branche, la consigne est la même : installer la dernière version disponible.

Comment mettre à jour

La mise à jour s'installe depuis Réglages > Général > Mise à jour logicielle. Une sauvegarde préalable, sur iCloud ou sur ordinateur, reste recommandée. Pour les personnes particulièrement exposées (journalistes, militants, dirigeants), Apple propose par ailleurs le mode Isolement, conçu pour réduire la surface d'attaque face à ce type de menaces ciblées.