Installé sur tous les appareils Apple : l’application se comporte étrangement et pourrait constituer un risque pour la sécurité

Publié le 2 décembre 2025 à 06h40. Des utilisateurs d’Apple Podcasts signalent le lancement automatique de podcasts et la présence de liens suspects, suscitant des inquiétudes quant à la sécurité de l’application et de leurs appareils.

• L’application Apple Podcasts démarre de manière inattendue et diffuse parfois du contenu douteux.
• Certains podcasts contiennent des liens potentiellement dangereux, notamment des tentatives d’attaques par script intersite (XSS).
• Des experts en sécurité confirment la vulnérabilité, bien qu’elle ne constitue pas en soi une attaque active.

Plusieurs utilisateurs d’Apple Podcasts ont récemment exprimé leur inquiétude face à un comportement anormal de l’application. Des podcasts se lancent sans intervention de l’utilisateur, et certains contiennent des titres énigmatiques ou des liens vers des sites web potentiellement malveillants. Le phénomène, observé sur les appareils iOS et macOS, y compris sur iPhone, a été rapporté par le site spécialisé 404 Media.

Les podcasts en question abordent des thèmes variés tels que la religion, la spiritualité et l’éducation. Certains titres sont particulièrement troublants, comme « 5../XEWE2′””””cliquez… », « libre arbitre, libre arbitrehttp://sermonaudio[.]com/rss_search.asp?keyword=free%will sur SermonAudio », « Leonel Pimentahttps://play[.]Google[.]com/store/apps/detai… » ou « https://ouvrir[.]Spotify[.]com/playlist/53TA8e97shGyQ6iMk6TDjc?… ». Selon le rapport de 404 Media, certains de ces podcasts existent depuis plusieurs années, tandis que d’autres ne contiennent aucun contenu audio, se limitant à des redirections suspectes.

Patrick Wardle, expert en sécurité macOS et fondateur de l’organisation Objective-See, a confirmé la possibilité de reproduire ce comportement. Il a expliqué au magazine Digital que l’application pouvait effectivement s’ouvrir seule et lancer un podcast sélectionné par un attaquant potentiel. Cependant, il a souligné qu’il ne s’agissait pas en soi d’une attaque, mais d’une vulnérabilité qui pourrait être exploitée si une faille de sécurité était présente dans l’application.

Le rapport de 404 Media révèle également qu’un podcast contenait un lien vers un site web tentant de mener une attaque par script intersite (XSS). Cette technique permet à des attaquants d’injecter du code malveillant dans des sites web légitimes, compromettant potentiellement la sécurité des utilisateurs.

Ce phénomène rappelle des incidents similaires, comme les spams de l’agenda Google, où des événements indésirables contenant des liens malveillants apparaissaient dans les calendriers des utilisateurs. Dans les deux cas, l’objectif semble être d’attirer les utilisateurs vers des sites web dangereux par des méthodes discrètes.

Pour l’heure, Apple n’a pas répondu aux demandes de commentaires de 404 Media concernant cette affaire. Les utilisateurs sont invités à la prudence et à ne pas cliquer sur des liens suspects provenant de podcasts inconnus ou de titres étranges.