iOS 14.8, watchOS 7.6.2 et macOS 11.6 corrigent une grave faille de sécurité

Apple vient de lancer le déploiement des mises à jour iOS 14.8, watchOS 7.6.2 et macOS 11.6 sur tous les appareils compatibles. Ces firmwares corrigent plusieurs brèches de sécurité, dont une grave faille exploitée par le malware espion Pegasus. Grâce à cette faille, un pirate est en mesure de prendre le contrôle d'un iPhone ou d'un Mac en passant par l'application iMessage. 

Ce 13 septembre 2021, Apple a lancé le déploiement des mises à jour iOS 14.8, iPadOS 14.8, watchOS 7.6.2 et macOS Big Sur 11.6 sur tous les terminaux compatibles. Sur sa page d'assistance, le géant de Cupertino affirme que deux brèches de sécurité ont été corrigées par les firmwares.

La première faille permettait à un “contenu web malveillant” d'exécuter arbitrairement du code sur le terminal d'un utilisateur. Apple explique que la faille a “peut-être été activement exploitée” par des pirates. Afin de protéger les usagers, le groupe n'en dit pas plus sur le fonctionnement de la vulnérabilité.

Apple corrige une faile de sécurité exploitée par le malware Pegasus

La deuxième faille de sécurité corrigée a été exploitée par Pegasus, le redoutable spyware développé par NSO, depuis le mois de février 2021. “Le traitement d'un PDF malveillant peut entraîner l'exécution arbitraire de code”, détaille Apple. Cette brèche, baptisée FORCEDENTRY par les experts de The Citizen Lab, permet de pirater un iPhone en transmettant un document PDF vérolé par iMessage, la messagerie instantanée des appareils Apple.

Ce PDF est capable d'installer Pegasus sur un iPhone à l'insu de l'utilisateur. D'après The Citizen Lab, qui a repéré la vulnérabilité le mois dernier, la faille a été utilisée pour pénétrer dans le smartphone d'activistes du Bahrein (Arabie Saoudite) en mars dernier. Le malware Pegasus est en effet massivement utilisé par des gouvernements autoritaires.

Lire également : cette application vérifie si le malware Pegasus a été installé sur votre smartphone Android ou iOS

Il s'agit d'une attaque « zero click ». Ce type d'attaque ne nécessite pas qu'un utilisateur clique sur le document PDF. La firme israélienne NSO est en effet parvenue à contourner les mesures de sécurité d'Apple pour déployer Pegasus en toute discrétion. Quoi qu'il en soit, la vulnérabilité a été corrigée par la dernière version d'iOS 14. On vous conseille de l'installer rapidement sur votre iPhone.