Apple a publié macOS Tahoe 26.7.1 pour corriger une faille de sécurité dans CoreGraphics, un composant central du système. La vulnérabilité aurait été exploitée lors d’attaques extrêmement sophistiquées visant des cibles spécifiques sur d’anciennes versions d’iOS. Aucune exploitation sur Mac n’est signalée, mais installer ce correctif de sécurité reste la décision la plus prudente.
macOS Tahoe 26.7.1 corrige une vulnérabilité de CoreGraphics
La faille, référencée CVE-2026-86950, concerne le traitement d’un fichier spécialement conçu. Elle pouvait provoquer une écriture hors limites en mémoire et, potentiellement, permettre l’exécution de code arbitraire.
CoreGraphics gère l’affichage des formes, des textes, des images et des PDF. Comme cette brique intervient dans de nombreuses opérations courantes, un fichier piégé pouvait suffire à atteindre le composant concerné.
Une exploitation ciblée signalée sur iOS
Apple décrit une exploitation « extrêmement sophistiquée » contre des individus ciblés utilisant des versions d’iOS antérieures à iOS 27. La firme ne précise pas davantage les circonstances et ne confirme pas d’attaque active sur Mac.
Le lien avec une attaque sur iOS est donc établi, mais il ne faut pas confondre les deux situations. Pour les utilisateurs de macOS Tahoe, le risque justifie néanmoins une mise à jour macOS rapide : la même vulnérabilité est corrigée sur leur système.
Pourquoi installer le correctif de sécurité sans attendre
Le correctif renforce le contrôle des limites mémoire dans CoreGraphics. C’est une mesure technique ciblée, mais elle ferme une porte qui pouvait mener à l’exécution de code malveillant après l’ouverture d’un fichier préparé pour l’attaque.
Pour lancer l’installation, ouvrez Réglages Système, puis Général et Mise à jour de logiciels. Vérifiez que macOS Tahoe 26.7.1 est proposé et redémarrez le Mac une fois l’opération terminée. Un poste à jour reste la première ligne de protection des utilisateurs.
Une mise à jour importante pour la cybersécurité des Mac
Apple attribue la découverte à Meta Product Security. Comme souvent, l’entreprise ne détaille pas la faille avant que les correctifs soient disponibles, afin de limiter les informations utiles à d’éventuels attaquants.
La société a aussi indiqué que les outils d’IA accélèrent la création de moyens d’attaque et influencent son calendrier de sécurité. Rien ne permet toutefois d’affirmer que cette vulnérabilité précise est liée à l’IA. Le constat utile est plus simple : en cybersécurité, différer un correctif exposant un composant aussi sollicité n’apporte rien.
