iOS 27.2.1 : un attaquant distant pouvait rejoindre un groupe iMessage

Apple a publié le 9 novembre 2026 iOS 27.2.1 et iPadOS 27.2.1, qui corrigent une faille d’autorisation permettant à un attaquant distant de rejoindre une conversation de groupe iMessage et d’en recevoir les messages.

La note de sécurité, « About the security content of iOS 27.2.1 and iPadOS 27.2.1 », décrit neuf correctifs. Tous visent les iPhone 11 et modèles ultérieurs, les iPad Pro 12,9 pouces à partir de la 4e génération, les iPad Pro 11 pouces à partir de la 2e génération, les iPad Air à partir de la 4e génération, les iPad à partir de la 9e génération et les iPad mini à partir de la 6e génération. Apple ne dit pas si ces failles ont été utilisées dans des attaques.

Deux failles dans Messages

La première, CVE-2026-113961, est créditée à un chercheur anonyme. Apple la décrit comme un défaut d’autorisation, corrigé par une meilleure validation. L’effet indiqué : un attaquant distant peut rejoindre un groupe iMessage et recevoir ses messages. La note ne précise pas ce que verraient les autres participants, ni si chacun doit installer la mise à jour pour que le groupe soit protégé.

La seconde, CVE-2026-113960, est aussi créditée à un chercheur anonyme. Une personne ajoutée au groupe pouvait accéder aux messages envoyés avant son arrivée. Apple dit avoir retiré le code vulnérable.

Bluetooth, AirPlay et Brotli

Sous l’intitulé AirPlay, CVE-2026-113968 permet à un attaquant à portée Bluetooth de contourner la limite de tentatives du code d’appairage. CVE-2026-113965, classée dans CoreUtils, permet à un appareil Bluetooth malveillant d’établir un appairage sans action de l’utilisateur. CVE-2026-113964, toujours dans CoreUtils, combine le contournement de la limite de tentatives et un appairage sans interaction, depuis la portée Bluetooth. CVE-2026-113970, dans Bluetooth, est un use-after-free : un attaquant à portée peut corrompre la mémoire d’un processus. CVE-2026-113969, dans rapportd, concerne AirPlay sur le même réseau : contournement de la limite de tentatives du code d’appairage.

CVE-2026-113963, dans App Intents, est un défaut d’autorisation qui pouvait laisser une application accéder à des données sensibles. Le crédit revient à László Várady.

Le neuvième correctif, CVE-2026-111497, porte sur la bibliothèque de compression Brotli. Apple parle d’une écriture hors limites, qui peut corrompre la mémoire si l’on traite une entrée conçue pour cela. La fiche ne nomme pas de chercheur. Le catalogue des vulnérabilités exploitées de la CISA a ajouté ce CVE le 27 octobre 2026, avec une échéance fédérale au 10 novembre 2026. La CISA décrit, pour le composant Brotli de Google, un attaquant distant non authentifié capable, avec un flux compressé, de corrompre l’état du décodeur, de lire de la mémoire, de provoquer un déni de service ou, potentiellement, d’exécuter du code. Elle précise que le composant peut se trouver dans d’autres produits, et renvoie vers l’étiquette de version 1.2.1 du dépôt Brotli. Apple, de son côté, ne dit pas que la copie corrigée dans iOS a été exploitée.

Les anciens iPhone n’ont pas les correctifs iMessage

Le même jour, Apple a publié iOS 18.7.12 et iPadOS 18.7.12 pour l’iPhone XS, l’iPhone XS Max, l’iPhone XR et l’iPad de 7e génération, ainsi que watchOS 26.6.1 pour les Apple Watch Series 6, 7 et 8, la SE de 2e génération et l’Ultra. Ces notes listent des correctifs Bluetooth et AirPlay, dont CVE-2026-113968, CVE-2026-113970, CVE-2026-113965, CVE-2026-113964 et CVE-2026-113969. Elles ne mentionnent ni CVE-2026-113961, ni CVE-2026-113960, ni CVE-2026-111497. Apple ne dit pas si ces trois failles touchent ces appareils.

La mise à jour se lance dans Réglages, Général, Mise à jour logicielle. Aucun contournement n’est décrit pour qui ne peut pas l’installer.

Sources

Note de sécurité iOS 27.2.1 et iPadOS 27.2.1, Apple, publiée le 9 novembre 2026.

Note iOS 18.7.12 et iPadOS 18.7.12 et note watchOS 26.6.1, Apple.

Catalogue des vulnérabilités exploitées, CISA, fiche CVE-2026-111497, ajoutée le 27 octobre 2026, échéance au 10 novembre 2026.