Apple a récemment publié des mises à jour de sécurité pour tout son portefeuille logiciel, confrontée à une vulnérabilité critique qui avait déjà affecté Google Chrome comme zéro-jour. La faille, identifiée comme CVE-2025-6558 avec un score CVSS de 8,8, concerne une validation incorrecte des entrées non fiables dans l’angle et les composants GPU des navigateurs. Cette faiblesse pourrait permettre à un attaquant d’échapper au bac à sable du navigateur via une page HTML spécialement créée, exposant ainsi les utilisateurs à d’éventuels exploits.
Découverte et réponse à la vulnérabilité
Google avait déjà reconnu qu’un exploit pour cette vulnérabilité était activement utilisé dans les attaques réelles. Le problème a été découvert par le groupe d’analyse ANAAT de Google, qui a rapidement informé sa communauté d’utilisateurs et Apple. Plus précisément, ce dernier, dans le cycle le plus récent des mises à jour logicielles, comprenait un correctif spécifique pour CVE-2025-6558, soulignant comment la vulnérabilité a un impact directement sur WebKit, le moteur de rendu au bas de Safari.
Plates-formes et versions intéressées
Selon l’avis de sécurité publié par Apple, cette vulnérabilité dans le code open source peut être utilisée pour provoquer des accidents soudains ou des comportements inattendus de safaris lorsque le contenu Web malveillant est traité. La correction a été distribuée sur différentes plates-formes et versions des systèmes d’exploitation Apple:
- iOS 18.6 et iPados 18.6 Pour l’iPhone XS et les modèles suivants, différents modèles d’iPad Pro, d’iPad Air, d’iPad Mini et de norme d’iPad
- IPados 17.7.9 Pour plus d’appareils datés
- MacOS Sequoia 15.6 Pour les macs
- Tvos 18.6 Pour Apple TV
- Watchos 11.6 Pour Apple Watch 6 Series et par la suite
- VisionOS 2.6 Pour Apple Vision Pro
Conseils de sécurité des utilisateurs
Bien que pour le moment il n’y ait aucune preuve que la vulnérabilité ait été utilisée pour des attaques ciblées contre les utilisateurs d’appareils Apple, la recommandation est de mettre à jour rapidement tous les appareils vers les versions les plus récentes du logiciel. La mise à jour représente toujours la meilleure défense contre l’exploit zéro-jour et ses menaces, en particulier en ce qui concerne les navigateurs, souvent la cible principale du cybercriminé.
Collaboration dans la gestion de la vulnérabilité
La rapidité dans la gestion de la vulnérabilité telle que CVE-2025-6558 est fondamentale pour la sécurité de millions d’utilisateurs du monde entier, confirmant l’importance d’une collaboration rapide entre les principaux acteurs du secteur technologique pour assurer la protection des données et des identités numériques.