Une application malveillante pouvait accéder à la caméra sans obtenir l’autorisation de l’utilisateur. Apple corrige ce défaut avec iOS 27.2, mais aussi avec des mises à jour de branches antérieures. Pour protéger un ancien iPhone, il faut donc regarder le correctif disponible pour son modèle, et pas seulement chercher la dernière grande version d’iOS.
La faille touchait l’autorisation, pas simplement une image affichée
Référencée CVE-2026-86990, la vulnérabilité concerne CoreMedia, un composant utilisé pour les contenus audio et vidéo. Dans son bulletin de sécurité d’iOS 27.2, Apple décrit la possibilité pour une application malveillante d’accéder à la caméra sans permission. Le correctif renforce les restrictions d’accès.
Le scénario suppose une application malveillante. Le bulletin ne décrit pas un simple appel téléphonique qui suffirait à allumer à distance la caméra de n’importe quel iPhone. Il ne faut pas non plus confondre cette référence avec une autre faille corrigée dans la même mise à jour : chaque vulnérabilité a son propre mécanisme.
Le point vert ne remplace pas le contrôle d’accès
L’indicateur d’utilisation de la caméra et la demande d’autorisation répondent à deux besoins différents. Le premier signale une activité ; la seconde doit empêcher une application non autorisée d’y accéder. Voir un indicateur ne rend pas acceptable le contournement de la permission.
L’analyse de 9to5Mac, publiée le 30 octobre, insiste sur ce point : le défaut vise l’accès logiciel, et non la disparition du témoin d’activité. Un cache physique peut masquer l’objectif, mais il ne répare pas le composant vulnérable et ne remplace pas une mise à jour.
Plusieurs branches d’iOS reçoivent le correctif
Le registre officiel des mises à jour de sécurité permet de retrouver la branche adaptée à l’appareil. Apple documente cette correction dans les versions suivantes :
- iOS 27.2 et iPadOS 27.2 pour les modèles compatibles avec la branche actuelle ;
- iOS 26.7.2 et iPadOS 26.7.2 ;
- iOS 18.7.11 et iPadOS 18.7.11 pour les appareils concernés par cette branche.
Cette liste ne veut pas dire que ces trois téléchargements seront proposés sur le même iPhone. Le modèle et la branche suivie déterminent la mise à jour accessible. La faille a également été corrigée sur certaines versions de macOS et de visionOS.
Les deux vérifications à faire sur votre iPhone
Commencez par Réglages > Général > Mise à jour logicielle et installez la version proposée pour votre appareil. Le correctif a été publié cette semaine ; la remise en lumière du problème le 30 octobre n’est pas l’annonce d’une nouvelle attaque généralisée.
Puis ouvrez Réglages > Confidentialité et sécurité > Appareil photo. Cette liste permet de revoir les applications auxquelles vous avez volontairement accordé l’accès. Retirez les permissions devenues inutiles : ce contrôle d’hygiène reste pertinent après l’installation du correctif, même s’il ne pouvait pas réparer à lui seul une faille de CoreMedia.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
