Publié le 27 novembre 2025 20h00. Des utilisateurs d’Apple Podcasts signalent l’ouverture inattendue de l’application sur des émissions auxquelles ils ne sont pas abonnés, soulevant des inquiétudes concernant une possible tentative de piratage via des liens malveillants.
- L’application Apple Podcasts s’ouvre de manière aléatoire sur des podcasts, souvent axés sur la religion, la spiritualité et l’éducation.
- Au moins un podcast contient un lien suspect susceptible d’exploiter une ancienne faille de sécurité, le cross-site scripting (XSS).
- Apple n’a pas encore répondu aux demandes de commentaires concernant ce problème.
Plusieurs utilisateurs ont remarqué un comportement étrange avec l’application Apple Podcasts : celle-ci se lance de manière inattendue, ouvrant un podcast auquel ils ne sont pas abonnés. Le phénomène, rapporté initialement par 404 Media, semble cibler en particulier des podcasts traitant de religion, de spiritualité et d’éducation.
Si le simple fait que l’application s’ouvre est pour l’instant considéré comme une nuisance, les experts en sécurité s’inquiètent de la présence d’un lien potentiellement malveillant dans l’un des podcasts concernés. Ce lien pourrait tenter d’exploiter une vulnérabilité connue sous le nom de cross-site scripting, ou XSS (attaque par injection intersite). Cette technique, bien que moins courante qu’il y a une dizaine d’années, permet à un attaquant d’injecter du code malveillant dans un site web légitime.
Selon 404 Media, le problème remonte au moins à 2019, avec des signalements d’épisodes s’ouvrant automatiquement, parfois silencieux ou dans des langues inattendues.
Ce n’est pas la première fois qu’Apple est confronté à des problèmes de sécurité similaires. Récemment, une recrudescence de spams cryptographiques a été observée sur Apple Calendar, et iMessage a également été la cible de tentatives de spam dans le passé. Apple a mis en place divers paramètres et filtres pour contrer ces attaques, mais les acteurs malveillants semblent trouver de nouvelles façons de contourner ces protections. Les paramètres de sécurité d’Apple sont disponibles sur le site de support.
Dans le cas d’Apple Podcasts, la possibilité de lancer l’application automatiquement à partir d’un lien, sans nécessiter d’action de l’utilisateur, semble être la principale vulnérabilité. Patrick Wardle, expert en sécurité macOS et fondateur de l’organisation de cybersécurité Mac Objective-See, explique :
« Le comportement le plus préoccupant est que l’application peut être lancée automatiquement avec un podcast choisi par un attaquant. »
Patrick Wardle, expert en sécurité macOS et fondateur de Mac Objective-See
Il ajoute que le même comportement peut être reproduit via un simple site web, déclenchant l’ouverture de Podcasts sans aucune confirmation de l’utilisateur, contrairement à d’autres applications sur macOS (comme Zoom).
404 Media a contacté Apple à plusieurs reprises pour obtenir des commentaires, mais n’a reçu aucune réponse à ce jour.
Avez-vous rencontré ce problème ? Partagez votre expérience dans les commentaires.
Divulgation : Nous utilisons des liens d’affiliation qui génèrent des revenus. En savoir plus.
