À propos des correctifs de sécurité d’iOS 26.4 et d’iPadOS 26.4

Ce document décrit les correctifs de sécurité d’iOS 26.4 et d’iPadOS 26.4.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de sa clientèle, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 26.4 et iPadOS 26.4

Publiés le 24 mars 2026

802.1X

Disponible pour : iPhone 11 (et modèles ultérieurs), iPad Pro 12,9 pouces (3e génération et modèles ultérieurs), iPad Pro 11 pouces (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (8e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut intercepter le trafic du réseau.

Description : un problème d’authentification a été résolu par une meilleure gestion des états.

CVE-2026-28865 : Héloïse Gollier et Mathy Vanhoef (KU Leuven)

Accounts

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur ou de l’utilisatrice.

Description : un problème d’autorisation a été résolu par une meilleure gestion des états.

CVE-2026-28877 : Rosyna Keller de Totally Not Malicious Software

App Protection

Disponible pour : iPhone 11 et modèles ultérieurs

Conséquence : un attaquant disposant d’un accès physique à un appareil iOS sur lequel la protection en cas de vol de l’appareil est activée pourrait ouvrir des apps dont l’accès est normalement autorisé à l’aide de données biométriques en utilisant le code de l’appareil.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2026-28895 : Zack Tickman

Audio

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28879 : Justin Cohen de Google

Audio

Conséquence : un attaquant pourrait provoquer la fermeture inopinée d’une app.

Description : un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28822 : Jex Amro

Baseband

Conséquence : un attaquant ou une attaquante à distance peut provoquer l’arrêt inopiné d’apps.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2026-28874 : Hazem Issa, Tuan D. Hoang et Yongdae Kim @ SysSec, KAIST

Baseband

Disponible pour : iPhone 16e

Conséquence : un attaquant distant peut être à l’origine d’un déni de service.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

CVE-2026-28875 : Tuan D. Hoang et Yongdae Kim @ KAIST SysSec Lab

Calling Framework

Conséquence : un attaquant distant peut être à l’origine d’un déni de service.

Description : un problème de déni de service a été résolu par une meilleure validation des entrées.

CVE-2026-28894 : un chercheur ou une chercheuse anonyme

Clipboard

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur ou de l’utilisatrice.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2026-28866 : Cristian Dinca (icmd.tech)

CoreMedia

Conséquence : le traitement d’un flux audio dans un fichier multimédia malveillant pourrait mettre fin au processus.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2026-20690 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CoreUtils

Conséquence : un utilisateur bénéficiant d’une position privilégiée sur le réseau peut être à l’origine d’un déni de service.

Description : un déréférencement de pointeurs null a été résolu par une meilleure validation des entrées.

CVE-2026-28886 : Etienne Charron (Renault) et Victoria Martini (Renault)

Crash Reporter

Conséquence : une app peut être en mesure d’énumérer les apps installées d’un utilisateur.

Description : un problème de confidentialité a été résolu par la suppression de données sensibles.

CVE-2026-28878 : Zhongcheng Li de l’IES Red Team

curl

Conséquence : un problème dans curl pouvait entraîner l’envoi involontaire d’informations sensibles par le biais d’une connexion incorrecte.

Description : une vulnérabilité est présente dans le code open source et les logiciels Apple font partie des projets concernés. La référence CVE a été attribuée par un tiers. Consultez le site cve.org pour en savoir plus sur le problème et la référence CVE.

CVE-2025-14524

DeviceLink

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur ou de l’utilisatrice.

Description : un problème d’analyse dans la gestion des chemins d’accès aux répertoires a été résolu par une meilleure validation des chemins d’accès.

CVE-2026-28876 : Andreas Jaegersberger et Ro Achterberg de Nosebeard Labs

GeoServices

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur ou de l’utilisatrice.

Description : une fuite d’informations a été résolue par une validation supplémentaire.

CVE-2026-28870 : XiguaSec

iCloud

Conséquence : une app peut être en mesure d’énumérer les apps installées d’un utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2026-28880 : Zhongcheng Li de l’IES Red Team

CVE-2026-28833 : Zhongcheng Li de l’IES Red Team

ImageIO

Conséquence : le traitement d’un fichier malveillant peut entraîner l’arrêt inopiné d’apps.

CVE-2025-64505

Kernel

Conséquence : une app pourrait divulguer le contenu de la mémoire du noyau.

Description : un problème de journalisation a été résolu par l’amélioration du masquage des données.

CVE-2026-28868 : 이동하 (Lee Dong Ha de BoB 0xB6)

Kernel

Conséquence : une app peut divulguer des informations sensibles sur l’état du noyau.

Description : ce problème a été résolu par une meilleure authentification.

CVE-2026-28867 : Jian Lee (@speedyfriend433)

Kernel

Conséquence : une app peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2026-20698 : DARKNAVY (@DarkNavyOrg)

Kernel

Conséquence : une app pourrait provoquer l’arrêt inopiné du système ou l’écriture de contenu dans la mémoire du noyau.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2026-20687 : Johnny Franks (@zeroxjf)

libxpc

Conséquence : une app peut être en mesure d’énumérer les apps installées d’un utilisateur.

Description : le problème a été résolu par la réalisation de meilleures vérifications.

CVE-2026-28882 : Ilias Morad (A2nkF) de Voynich Group, Duy Trần (@khanhduytran0), @hugeBlack

Mail

Conséquence : les réglages « Masquer l’adresse IP » et « Bloquer tout le contenu distant » peuvent ne pas s’appliquer à tout le contenu mail.

Description : un problème de confidentialité a été résolu par une meilleure gestion des préférences utilisateur.

CVE-2026-20692 : Andreas Jaegersberger et Ro Achterberg de Nosebeard Labs

Printing

Conséquence : une app pourrait sortir de sa sandbox.

Description : un problème de gestion des chemins a été résolu par une meilleure validation.

CVE-2026-20688 : wdszzml et Atuin Automated Vulnerability Discovery Engine

Sandbox Profiles

Conséquence : une app peut être en mesure de suivre l’utilisateur ou l’utilisatrice par fingerprinting.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2026-28863 : Gongyu Ma (@Mezone0)

Security

Conséquence : un attaquant ou une attaquante en local peut être en mesure d’accéder au contenu du trousseau de l’utilisateur ou de l’utilisatrice.

Description : ce problème a été résolu par une meilleure vérification des autorisations.

CVE-2026-28864 : Alex Radocea

Siri

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil verrouillé pourrait consulter des informations sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de l’authentification.

CVE-2026-28856 : un chercheur ou une chercheuse anonyme

Telephony

Conséquence : un utilisateur distant peut être en mesure d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

CVE-2026-28858 : Hazem Issa et Yongdae Kim @ SysSec, KAIST

UIFoundation

Conséquence : une app pourrait être en mesure de provoquer un déni de service.

Description : un problème de dépassement de pile a été résolu par une meilleure validation des entrées.

CVE-2026-28852 : Caspian Tarafdar

WebKit

Conséquence : le traitement de contenu web malveillant pourrait empêcher l’application de la politique de sécurité du contenu.

Description : ce problème a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 304951

CVE-2026-20665 : webb

WebKit

Conséquence : le traitement d’un contenu web malveillant peut contourner la politique de même origine.

Description : un problème d’origines multiples dans l’API Navigation a été résolu par une meilleure validation des entrées.

WebKit Bugzilla : 306050

CVE-2026-20643 : Thomas Espach

WebKit

Conséquence : la consultation d’un site web malveillant peut entraîner une attaque d’injection de code indirect.

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

WebKit Bugzilla : 305859

CVE-2026-28871 : @hamayanhamayan

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 306136

CVE-2026-20664 : Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky & Switch, Yevhen Pervushyn

WebKit Bugzilla : 307723

CVE-2026-28857 : Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea, Nathaniel Oh (@calysteon)

WebKit

Conséquence : un site web malveillant pourrait accéder à des gestionnaires de messages de script destinés à d’autres origines.

Description : un problème de logique a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 307014

CVE-2026-28861 : Hongze Wu et Shuaike Dong d’Ant Group Infrastructure Security Team

WebKit

Conséquence : un site web malveillant pourrait traiter du contenu web restreint en dehors de la sandbox.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 308248

CVE-2026-28859 : greenbynox, Arni Hardarson

WebKit Sandboxing

Conséquence : une page web malveillante pourrait être en mesure de créer une représentation unique de l’utilisateur.

Description : un problème d’autorisation a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 306827

CVE-2026-20691 : Gongyu Ma (@Mezone0)

Remerciements supplémentaires

Accessibility

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde et Jacob Prezant (prezant.us) pour leur aide.

AirPort

Nous tenons à remercier Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari et Omid Rezaii pour leur aide.

App Protection

Nous tenons à remercier Andr.Ess pour son aide.

Bluetooth

Nous tenons à remercier Hamid Mahmoud pour son aide.

Captive Network

Nous tenons à remercier Kun Peeks (@SwayZGl1tZyyy) pour son aide.

CipherML

Nous tenons à remercier Nils Hanff (@nils1729@chaos.social) du Hasso Plattner Institute pour son aide.

CloudAttestation

Nous tenons à remercier Suresh Sundaram et Willard Jansen pour leur aide.

CoreUI

Nous tenons à remercier Peter Malone pour son aide.

Find My

Nous tenons à remercier Salemdomain pour son aide.

GPU Drivers

Nous tenons à remercier Jian Lee (@speedyfriend433) pour son aide.

ICU

Nous tenons à remercier Jian Lee (@speedyfriend433) pour son aide.

Kernel

Nous tenons à remercier DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville de Fuzzinglabs, Patrick Ventuzelo de Fuzzinglabs, Robert Tran et Suresh Sundaram pour leur aide.

libarchive

Nous tenons à remercier Andreas Jaegersberger et Ro Achterberg de Nosebeard Labs et Arni Hardarson pour leur aide.

libc

Nous tenons à remercier Vitaly Simonovich pour son aide.

Libnotify

Nous tenons à remercier Ilias Morad (@A2nkF_) pour son aide.

LLVM

Nous tenons à remercier Nathaniel Oh (@calysteon) pour son aide.

mDNSResponder

Nous tenons à remercier William Mather pour son aide.

Messages

Nous tenons à remercier JZ pour son aide.

MobileInstallation

Nous tenons à remercier Gongyu Ma (@Mezone0) pour son aide.

Music

Nous tenons à remercier Mohammad Kaif (@_mkahmad | kaif0x01) pour son aide.

NetworkExtension

Nous tenons à remercier Jianfeng Chen de yq12260 d’Intretech pour son aide.

Notes

Nous tenons à remercier Dawuge de la Shuffle Team et l’université du Hunan pour leur aide.

Notifications

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde pour son aide.

ppp

Nous tenons à remercier Dave G. pour son aide.

Quick Look

Nous tenons à remercier Wojciech Regula de SecuRing (wojciechregula.blog) et un chercheur ou une chercheuse anonyme pour leur aide.

Safari

Nous tenons à remercier @RenwaX23, Bikesh Parajuli, Farras Givari, Syarif Muhammad Sajjad, Yair pour leur aide.

Safari Private Browsing

Nous tenons à remercier Jaime Gallego Matud pour son aide.

Shortcuts

Nous tenons à remercier Waleed Barakat (@WilDN00B) et Paul Montgomery (@nullevent) pour leur aide.

Siri

Nous tenons à remercier Anand Mallaya, consultant technique, Anand Mallaya and Co., Harsh Kirdolia et Hrishikesh Parmar, indépendant, pour leur aide.

Spotlight

Nous tenons à remercier Bilge Kaan Mızrak, Claude & Friends: Risk Analytics Research Group et Zack Tickman pour leur aide.

Status Bar

Nous tenons à remercier Sahel Alemi pour son aide.

Telephony

Nous tenons à remercier Xue Zhang et Yi Chen pour leur aide.

Time Zone

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde pour son aide.

UIKit

Nous tenons à remercier AEC, Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde, Ben Gallagher, Bishal Kafle (@whoisbishal.k), Carlos Luna (département de la Marine des États-Unis), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12 et incredincomp pour leur aide.

Wallet

Nous tenons à remercier Zhongcheng de l’IES Red Team de ByteDance pour son aide.

Web Extensions

Nous tenons à remercier Carlos Jeurissen et Rob Wu (robwu.nl) pour leur aide.

WebKit

Nous tenons à remercier Vamshi Paili, greenbynox et un chercheur ou une chercheuse anonyme pour leur aide.

WebKit Process Model

Nous tenons à remercier Joseph Semaan pour son aide.

Wi-Fi

Nous tenons à remercier Kun Peeks (@SwayZGl1tZyyy) et un chercheur ou une chercheuse anonyme pour leur aide.

Wi-Fi Connectivity

Nous tenons à remercier Alex Radocea de Supernetworks, Inc pour son aide.

Widgets

Nous tenons à remercier Marcel Voß, Mitul Pranjay et Serok Çelik pour leur aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: mars 27, 2026