Introduction : iOS 26 en Mars 2026

iOS 26, lancé le 15 septembre 2025, a révolutionné l'expérience utilisateur avec Liquid Glass et Apple Intelligence. Mais en mars 2026, la surface d'attaque reste une préoccupation majeure pour les experts en sécurité. Chaque nouvelle fonctionnalité élargit mécaniquement la surface d'attaque du système [1].

Note : Aucune donnée publique officielle d'Apple ne quantifie précisément le taux d'incidents de sécurité sur les versions beta versus stables. La prudence s'impose : utilisez un appareil dédié pour les tests beta.

Chronologie de Sécurité

Apple Intelligence : Sécurité de l'IA

Le traitement local (on-device) minimise les fuites, mais les attaques de type Prompt Injection tentent de contourner les instructions de Siri pour effectuer des actions non autorisées. Une analyse de sécurité indépendante publiée en juin 2025 par CyCraft a testé le modèle on-device d'Apple.

🔬 Résultats de red teaming (CyCraft, juin 2025) : Sur 196 tentatives d'injection, le modèle on-device d'Apple a bloqué 70,4 % des attaques, surpassant plusieurs modèles comparables comme Llama-3.2 (55,1 %) et GPT-4.1-nano (69,5 %). Toutefois, 26 % des prompts optimisés ont produit des réponses techniquement détaillées potentiellement exploitables.

⚠️ Rappel : La certification EAL6+ des puces Apple Secure Enclave ne protège pas contre les attaques par prompt injection. Ces vulnérabilités exploitent les faiblesses des modèles linguistiques, pas le matériel cryptographique.

Liquid Glass & Risques Matériels

Le design Liquid Glass multiplie les effets de transparence et d'animation GPU via le moteur Metal d'Apple. Cette sophistication graphique augmente la complexité du rendu.

❌ Correction — iLeakage n'est PAS lié à Liquid Glass : iLeakage (divulguée en octobre 2023, ACM CCS) est une attaque par exécution spéculative ciblant le CPU Apple Silicon via le moteur JavaScript de Safari, sans aucun lien avec le design Liquid Glass ou les effets de rendu GPU.

✅ Aucune vulnérabilité CVE publiée à ce jour ne lie explicitement Liquid Glass à une extraction de données par canal auxiliaire GPU.

⚠️ Menaces matérielles persistantes : SLAP et FLOP (janvier 2025)

En janvier 2025, des chercheurs ont dévoilé deux nouvelles attaques par canal auxiliaire, SLAP et FLOP, ciblant directement les processeurs Apple Silicon. Ces vulnérabilités matérielles sont toujours d'actualité et concernent toutes les versions d'iOS, y compris iOS 26 [18].

Réponse d'Apple : La société a remercié les chercheurs mais a déclaré ne pas considérer que ces problèmes posent "un risque immédiat" pour les utilisateurs. Aucun correctif complet n'a été déployé à ce jour. Mitigation temporaire : désactiver JavaScript dans Safari.

Vulnérabilités Récentes

Les descriptions originales de CVE-2025-24200 et CVE-2025-24201 étaient incorrectes. Voici les données officielles conformes aux bulletins Apple et NIST.

✅ Statut dans iOS 26 : Ces deux vulnérabilités ont été corrigées plusieurs mois avant le lancement public d'iOS 26 (septembre 2025). Tout appareil à jour depuis mars 2025 était déjà protégé.

Vulnérabilités réelles apparues dans iOS 26 (post-release)

Depuis la sortie publique d'iOS 26 en septembre 2025, Apple a corrigé des vulnérabilités activement exploitées, notamment dans iOS 26.2 (12 décembre 2025) :

Les deux failles WebKit ont été activement exploitées dans des attaques "extrêmement sophistiquées" de type spyware mercenaire. La CVE-2025-14174 affectait également Google Chrome (via le composant ANGLE).

📊 Adoption d'iOS 26 — Un facteur de risque majeur

En janvier 2026, seulement 16 % des iPhone actifs tournaient sur une version d'iOS 26, dont à peine 4,6 % sur iOS 26.2 (version contenant les correctifs critiques). La résistance au design Liquid Glass explique cette adoption inhabituellement lente. Conséquence : la grande majorité des utilisateurs (environ 80 %) reste sous iOS 18, exposée à un stock grandissant de failles non patchées et sans bénéficier des protections mémoire renforcées (Memory Integrity Enforcement) exclusives à iOS 26.

Confidentialité et dépendances

L'intégration d'Apple Intelligence avec des services tiers comme ChatGPT (OpenAI) introduit des flux de données sortants qui méritent attention. Apple a mis en place une architecture Private Cloud Compute pour les requêtes IA déléguées, mais la surface de données partagées reste à surveiller.

🔑 Dépendances logicielles tierces : Les applications beta iOS intègrent souvent des frameworks en version préliminaire. Il est recommandé d'auditer régulièrement les CVEs publiés pour les SDK tiers utilisés dans les apps installées via TestFlight (notamment les frameworks IA et de réseau).

Recommandations SafeITExperts

Pour garantir l'intégrité de vos données professionnelles sous iOS 26 :

• 📱 Appareil dédié : N'installez jamais la beta sur votre appareil principal. Utilisez un iPhone secondaire réservé aux tests.
• 🔑 Double authentification : Activez l'authentification à deux facteurs sur votre compte Apple ID — indispensable en permanence.
• 📦 Vérifier TestFlight : Vérifiez soigneusement la provenance de chaque invitation TestFlight avant d'installer une app.
• 💳 Surveiller Apple Pay : Activez les notifications de transaction et vérifiez régulièrement vos relevés.
• 🔄 Mettre à jour rapidement : Appliquez chaque mise à jour de sécurité dès sa disponibilité — les zero-days WebKit sont régulièrement exploités.
• 🔒 Lockdown Mode : Pour les profils à risque élevé, activez le mode Isolement d'Apple.

Conclusion : Une sécurité fragmentée

iOS 26 incarne la quête d'Apple pour une expérience mobile unifiée et intelligente, mais son adoption précoce via la beta exposait à des risques accrus. Depuis sa sortie publique, le cycle de sécurité s'est montré actif : trois mises à jour majeures en quatre mois, deux zero-days WebKit exploités dans des attaques de spyware mercenaire.

🔮 La bonne nouvelle : La mise à jour vers iOS 26.2 ou ultérieur corrige l'ensemble des vulnérabilités connues et ajoute des protections mémoire inédites.

🔮 La mauvaise nouvelle : Avec seulement 16 % des appareils compatibles sous iOS 26 et 4,6 % sous iOS 26.2 en janvier 2026, la grande majorité des utilisateurs reste exposée à un stock grandissant de failles non patchées.

⚠️ Le nouveau défi : Les attaques matérielles comme SLAP et FLOP nous rappellent que certaines vulnérabilités persistent au niveau du silicium et ne peuvent être entièrement corrigées par un simple logiciel.

« La sécurité absolue n'existe pas — seulement un équilibre dynamique entre fonctionnalités et risques. La qualité d'une analyse tient à l'exactitude de ses sources. » — SafeITExperts

Lexique Technique

Sources et références