blacksloth.fr

iOS 27.2.1 : 9 failles corrigées, quelle mise à jour pour quel iPhone ?

À retenir

  • iOS 27.2.1 et iPadOS 27.2.1 sont sortis le 9 novembre 2026, à partir de l’iPhone 11, selon la page de sécurité d’Apple.
  • Apple y recense 9 failles (identifiants CVE) réparties sur 7 composants : AirPlay, App Intents, Bluetooth, brotli, CoreUtils, Messages et rapportd.
  • Les iPhone restés sous une version antérieure à iOS 27 ont aussi une mise à jour le même jour : iOS 26.7.3 ou, pour les plus anciens, iOS 18.7.12.
  • La page d’Apple ne mentionne aucune exploitation de ces failles ; elle ne dit pas non plus qu’il n’y en a pas eu.
  • Chemin : Réglages > Général > Mise à jour logicielle.

Ce qu’Apple a publié le 9 novembre 2026

Selon MacRumors, iOS 27.2.1 est une mise à jour mineure d’iOS 27, arrivée deux semaines après iOS 27.2. Elle corrige des bugs et des failles de sécurité. Apple a sorti en parallèle iOS 26.7.3 et iOS 18.7.12 pour les appareils qui ne tournent pas sous iOS 27.

Le détail figure sur la page « About the security content of iOS 27.2.1 and iPadOS 27.2.1 », qui compte 9 entrées CVE, c’est-à-dire un identifiant attribué à chaque faille. 9to5Mac signale lui aussi des correctifs touchant Messages, AirPlay et Bluetooth.

Les 9 failles, en langage clair

Les formulations ci-dessous reprennent l’impact décrit par Apple, traduit par nos soins. Apple ne publie pas de détail technique supplémentaire, et nous n’en ajoutons aucun.

Messages : deux failles sur les groupes iMessage

  • CVE-2026-113961 : « un attaquant distant pourrait rejoindre une conversation de groupe iMessage et recevoir ses messages ». Apple parle d’un problème d’autorisation, corrigé par une validation renforcée. Crédit : un chercheur anonyme.
  • CVE-2026-113960 : « un utilisateur ajouté à un groupe iMessage pourrait accéder aux messages envoyés avant son arrivée ». Apple a corrigé en supprimant le code vulnérable.

Bluetooth et appairage : cinq failles

Quatre de ces corrections concernent l’appairage, c’est-à-dire l’association de deux appareils ; la cinquième est une corruption de mémoire, dont la description d’Apple ne mentionne pas l’appairage.

  • AirPlay, CVE-2026-113968 : un attaquant à portée Bluetooth pourrait contourner la limite du nombre d’essais de code d’appairage.
  • CoreUtils, CVE-2026-113964 : même type de contournement, avec en plus la possibilité de s’appairer à un appareil sans interaction de l’utilisateur. Crédit : un chercheur anonyme.
  • CoreUtils, CVE-2026-113965 : un appareil Bluetooth malveillant pourrait établir un appairage sans interaction de l’utilisateur.
  • rapportd, CVE-2026-113969 : un attaquant sur le même réseau pourrait contourner la limite d’essais de code d’appairage AirPlay.
  • Bluetooth, CVE-2026-113970 : un attaquant à portée Bluetooth pourrait corrompre la mémoire d’un processus (erreur de type « use-after-free »).

Sur ces cinq entrées, quatre sont créditées à Apple elle-même et une (CVE-2026-113964) à un chercheur anonyme. Sur l’ensemble de la page, le seul chercheur nommé est László Várady, pour App Intents.

App Intents et brotli

  • App Intents, CVE-2026-113963 : une application pourrait accéder à des données sensibles de l’utilisateur. Crédit : László Várady.
  • brotli, CVE-2026-111497 : le traitement d’une donnée spécialement fabriquée pourrait provoquer une corruption de mémoire. Brotli est une bibliothèque de décompression ; la page d’Apple ne cite aucun crédit pour cette entrée.

Ce que dit la base NVD

La base américaine des vulnérabilités, la NVD, a publié trois fiches le 9 novembre 2026, et les scores varient. La fiche de la faille Messages CVE-2026-113961 porte un score CVSS 3.1 de 7.5 (« élevé »), attribué par une source secondaire de la NVD, et non par la NVD elle-même. Celle d’AirPlay (CVE-2026-113968) est à 5.4 (« moyen »). La seconde faille Messages (CVE-2026-113960) n’a pas encore de score et n’était pas analysée au moment de notre consultation.

Le cas de brotli est à part. Sa fiche NVD date du 22 octobre 2026 et décrit un débordement de mémoire dans le décodeur Brotli de Google. Les versions affectées vont de la 1.0.3 à avant la 1.0.10, de la 1.1.0 à avant la 1.1.1 et de la 1.2.0 à avant la 1.2.1 ; la faille est corrigée en 1.0.10, 1.1.1 et 1.2.1. Le score est de 9.8 (« critique »). Il porte sur la bibliothèque de Google. Apple, elle, résume l’effet par « corruption de mémoire », et rien dans les pages consultées ne permet de dire si les iPhone étaient exposés dans les mêmes conditions.

Ces scores sont à lire avec les conditions d’attaque indiquées par Apple : à portée Bluetooth, sur le même réseau, ou via une application installée.

Quelle version installer selon votre appareil

D’après la liste des mises à jour de sécurité d’Apple, trois versions sont sorties le 9 novembre 2026. Les iPad compatibles de chaque branche y sont détaillés.

  • iOS 27.2.1 / iPadOS 27.2.1 : iPhone 11 et ultérieurs.
  • iOS 26.7.3 / iPadOS 26.7.3 : iPhone 11 et ultérieurs.
  • iOS 18.7.12 / iPadOS 18.7.12 : iPhone XS, iPhone XS Max, iPhone XR et iPad (7e génération).

Un iPhone XS, XS Max ou XR reçoit donc iOS 18.7.12. Tout iPhone 11 ou ultérieur figure dans les deux premières lignes : iOS 27.2.1 s’il tourne sous iOS 27, iOS 26.7.3 s’il est resté sous iOS 26. Les pages consultées ne détaillent pas quelles failles touchent chaque branche, hormis les trois fiches NVD (113961, 113968, 113960), qui citent iOS 26.7.3 parmi les versions corrigées.

Faut-il mettre à jour ?

Ces failles sont décrites publiquement par Apple, et tant que le correctif n’est pas installé, la faille correspondante reste ouverte : c’est un argument pour installer sans tarder. Les limites sont toutefois réelles : aucune des pages consultées ne dit que ces failles sont exploitées activement, et plusieurs exigent une position particulière de l’attaquant (proximité Bluetooth, réseau commun). Pour installer, MacRumors indique Réglages > Général > Mise à jour logicielle.

Ce que la page d’Apple ne dit pas

  • Elle ne précise pas si l’une des failles a été exploitée avant le correctif. Elle indique seulement qu’Apple ne divulgue pas de problème de sécurité avant la fin d’une enquête et la disponibilité de correctifs.
  • Elle ne donne ni score de gravité ni mode opératoire ; les scores viennent de la NVD.
  • Elle ne détaille pas les corrections hors sécurité, que MacRumors évoque sans les énumérer.

Mon iPhone est-il compatible avec iOS 27.2.1 ?

Apple indique la compatibilité à partir de l’iPhone 11. Les iPhone XS, XS Max et XR ont iOS 18.7.12.

Ces failles sont-elles exploitées par des pirates ?

La page d’Apple et l’article de 9to5Mac ne le disent pas, et nous n’avons trouvé aucune confirmation dans les sources consultées.

Combien de failles Apple corrige-t-elle ?

Neuf entrées CVE sont listées sur la page d’Apple.

Sources

Image de fond de la vignette : Ka Kit Pang, Public domain, via Wikimedia Commons.

In

, , , , ,
Enable Notifications OK No thanks