29 failles corrigées chez Apple : Codex Security en a repéré 9

Apple vient de publier iOS 26.6.1, iPadOS 26.6.1 et macOS Tahoe 26.6.2. Ces versions n'ajoutent aucune fonction spectaculaire, mais elles corrigent respectivement 29 et 28 vulnérabilités référencées par un identifiant CVE. Neuf d'entre elles sont créditées à OpenAI Codex Security et à la chercheuse Amy Burnett.

Le chiffre est impressionnant, mais le raccourci selon lequel une IA aurait découvert seule neuf failles critiques chez Apple serait trompeur. Les bulletins officiels racontent une histoire plus intéressante : la recherche de vulnérabilités s'industrialise, tandis que leur validation devient plus importante que jamais.

29 CVE, mais pas 29 failles critiques

Le bulletin publié par Apple pour iOS 26.6.1 et iPadOS 26.6.1 contient 29 identifiants CVE. Celui de macOS Tahoe 26.6.2 en contient 28. Le Mac reprend le même ensemble, à l'exception d'une vulnérabilité liée à la téléphonie et propre à l'iPhone.

Un identifiant CVE sert à suivre publiquement une vulnérabilité. Il ne constitue ni une note de gravité, ni la preuve qu'une attaque a réellement eu lieu. Apple ne publie d'ailleurs aucun score de sévérité dans ces bulletins et ne signale aucune de ces vulnérabilités comme activement exploitée.

La conséquence la plus préoccupante se trouve dans ImageIO. La vulnérabilité CVE-2026-65346 peut, selon Apple, conduire à l'exécution de code arbitraire lors du traitement d'une image. Cela ne signifie pas qu'une attaque existe déjà dans la nature, mais le scénario dépasse largement le simple plantage d'une application.

La faille CVE-2026-65329 mérite également d'être distinguée. Elle pourrait permettre à un attaquant bénéficiant déjà d'une position privilégiée sur le réseau de contourner une authentification IPSec et d'intercepter du trafic. Cette condition limite fortement le nombre d'attaquants potentiels, sans rendre le correctif inutile.

Neuf vulnérabilités trouvées avec l'IA, pas par une IA seule

Apple attribue neuf CVE à la mention OpenAI Codex Security - Amy Burnett. La première est également créditée à Janggoon Lee, du collectif Out of Bounds. Ce détail est essentiel : le bulletin associe explicitement un outil d'analyse et une chercheuse humaine.

Les neuf vulnérabilités concernent toutes WebKit, le moteur qui affiche les pages web dans Safari et dans de nombreuses applications d'iOS. Pour chacune, l'impact public indiqué par Apple est un plantage inattendu de Safari lors du traitement d'un contenu web spécialement conçu.

Un plantage peut parfois révéler un problème de mémoire exploitable plus profondément. En revanche, il n'est pas possible de transformer cette possibilité en certitude sans analyse technique supplémentaire. Apple ne présente pas ces neuf CVE comme des prises de contrôle de l'iPhone, des exécutions de code ou des failles activement exploitées.

OpenAI présente Codex Security comme un agent de sécurité applicative destiné à aider les équipes à trouver, confirmer et corriger des vulnérabilités dans du code. L'entreprise ne publie toutefois pas la méthode exacte employée pour ces neuf signalements. Nous ignorons donc quelle part de la recherche, des tests, du tri et de la préparation des rapports a été automatisée.

La formulation la plus juste reste que ces vulnérabilités ont été identifiées avec l'aide de Codex Security. Il ne s'agit pas non plus d'Apple Intelligence ou de la future évolution de Siri, mais d'un outil spécialisé dans l'analyse de code et la recherche en sécurité.

L'IA accélère aussi le rythme des correctifs

Apple précise que les correctifs distribués dans iOS 26.6.1 et iPadOS 26.6.1 avaient d'abord été intégrés aux versions bêta d'iOS 27 et d'iPadOS 27. Au lieu d'attendre la prochaine grande version du système, l'entreprise les a donc rétroportés vers les versions actuellement utilisées par le public.

Reuters rapportait déjà fin juin qu'Apple avait décidé de diffuser certains correctifs plus tôt, face à l'accélération de la recherche de vulnérabilités assistée par IA. Cette mise à jour n'est donc pas un événement isolé. Elle illustre un changement de cadence dans lequel davantage de problèmes peuvent être découverts et corrigés entre deux versions majeures.

Il serait tentant d'en conclure qu'iOS ou macOS deviennent moins sûrs parce que le nombre de CVE augmente. Ce chiffre peut pourtant traduire l'effet inverse : davantage de chercheurs, de meilleurs outils d'analyse et une publication plus rapide des corrections. Le nombre brut de vulnérabilités ne suffit pas à mesurer la sécurité réelle d'un système.

Cette logique prolonge le rôle que jouent depuis longtemps les chercheurs indépendants dans les mises à jour de sécurité d'Apple. L'IA augmente maintenant leur capacité d'exploration, sans supprimer les étapes de vérification et de correction.

Le problème inverse : des rapports produits en série

Une IA capable de repérer rapidement des comportements suspects peut également produire beaucoup de faux positifs. Chaque résultat doit alors être reproduit, analysé et comparé aux vulnérabilités déjà connues avant de mobiliser les ingénieurs chargés de développer un correctif.

Apple reconnaît directement ce problème dans les règles de son programme de récompense. Un rapport exploitable doit notamment comporter une explication précise, une procédure de reproduction et un exploit fonctionnel ou une preuve de concept fiable. Les problèmes théoriques découverts avec une IA, mais transmis sans validation suffisante, ne sont pas éligibles.

L'entreprise va plus loin : les soumissions répétées de rapports non validés peuvent entraîner une suspension de leur traitement pendant 180 jours. Après plus de deux suspensions, un chercheur peut être définitivement exclu du programme. Apple explique que l'analyse de signalements générés par des modèles de langage sans preuve humaine peut retarder le traitement de vulnérabilités réellement critiques.

Ces règles ne remettent pas en cause les neuf CVE créditées à Codex Security, puisqu'elles ont été vérifiées, corrigées et publiées par Apple. Elles montrent où se situe désormais le principal goulot d'étranglement : non plus seulement dans la découverte d'un comportement étrange, mais dans la capacité à prouver qu'il constitue un véritable risque de sécurité.

Quels appareils faut-il mettre à jour ?

iPhone et iPad récents

iOS 26.6.1 est proposé à partir de l'iPhone 11. iPadOS 26.6.1 concerne notamment les iPad Pro 12,9 pouces à partir de la troisième génération, tous les iPad Pro 11 pouces, les iPad Air à partir de la troisième génération, les iPad à partir de la huitième génération et les iPad mini à partir de la cinquième génération.

iPhone et iPad plus anciens

Apple publie séparément iOS 18.7.10 et iPadOS 18.7.10 pour les iPhone XS, iPhone XS Max, iPhone XR et l'iPad de septième génération. Cette version possède son propre bulletin et son propre ensemble de correctifs. Il ne faut donc pas additionner son contenu aux 29 CVE d'iOS 26.6.1.

Mac

Les Mac utilisant macOS Tahoe doivent passer à macOS 26.6.2. Au moment de la publication des bulletins, Apple ne propose pas de mise à jour équivalente datée du 17 août pour macOS Sequoia ou Sonoma. Cette absence ne permet pas de conclure que ces versions sont vulnérables aux mêmes problèmes ou qu'elles ne recevront pas d'autres correctifs.

Sur iPhone et iPad, la mise à jour se trouve dans Réglages > Général > Mise à jour logicielle. Sur Mac, il faut ouvrir Réglages Système > Général > Mise à jour de logiciels.

Faut-il installer ces mises à jour immédiatement ?

Oui. Apple ne signale pas d'exploitation active connue qui justifierait de céder à la panique, mais certaines conséquences documentées, notamment l'exécution de code lors du traitement d'une image, rendent ces correctifs suffisamment importants pour ne pas les repousser inutilement.

Cette publication montre surtout que l'IA commence à produire des résultats concrets dans la recherche de vulnérabilités sur des logiciels utilisés par des centaines de millions de personnes. Elle ne remplace pourtant ni les chercheurs, ni les preuves techniques, ni les équipes d'Apple chargées de reproduire les problèmes et de développer les correctifs.

La prochaine étape ne consiste donc pas simplement à trouver toujours plus de failles. Elle consiste à automatiser la découverte sans submerger les éditeurs de rapports impossibles à vérifier. Dans ce domaine, la valeur ne réside pas dans le nombre d'alertes produites, mais dans le nombre de vulnérabilités réellement prouvées et corrigées.