WebKit

📅 Source : SecurityWeek, publié le 18 août 2026 par Ionut Arghire. Apple a annoncé le lundi 18 août 2026 une série de mises à jour de sécurité couvrant macOS Tahoe 26.6.2, iOS 26.6.1, iPadOS 26.6.1, iOS 18.7.10 et iPadOS 18.7.10, corrigeant un grand nombre de vulnérabilités dont la majorité affecte le moteur de navigateur WebKit. 🔧 macOS Tahoe 26.6.2 : 28 correctifs de sécurité au total 21 vulnérabilités dans WebKit pouvant entraîner des crashs de Safari, de la corruption mémoire et des divulgations de données sensibles 7 correctifs supplémentaires dans Audio, ImageIO, IOGPUFamily et Kernel pouvant mener à : divulgation d’informations utilisateur, déni de service (DoS), exécution de code arbitraire, corruption mémoire, arrêt système, divulgation ou corruption de mémoire kernel 📱 iOS 26.6.1 et iPadOS 26.6.1 : ...

🔍 Contexte Publié le 5 août 2026 par TechCrunch, cet article rapporte la divulgation publique de vulnérabilités affectant Apple Private Relay, une fonctionnalité de confidentialité disponible pour les abonnés iCloud+, conçue pour masquer l’adresse IP des utilisateurs lors de la navigation avec Safari. 🛠️ Nature des failles Les chercheurs Talal Haj Bakry et Tommy Mysk ont identifié trois failles dans WebKit, le moteur de navigateur d’Apple utilisé par tous les navigateurs sur iOS. Ces failles permettent de contourner la protection offerte par Private Relay et d’exposer l’adresse IP réelle de l’utilisateur. ...

🔍 Contexte Publié le 4 août 2026 par les chercheurs Talal Haj Bakry et Tommy Mysk (blog Mysk), cet article présente les résultats d’une investigation sur des fuites réseau découvertes dans WebKit, le moteur de rendu imposé par Apple pour tous les navigateurs iOS. L’enquête a débuté suite à un signalement d’un utilisateur du navigateur Psylo. 🐛 Vulnérabilités identifiées Trois fonctionnalités WebKit ont été identifiées comme contournant la configuration proxy définie via WKWebsiteDataStore.proxyConfigurations : ...

🔍 Contexte Article technique publié le 27 mars 2026 sur Substack par un chercheur en sécurité. Il documente l’analyse par rétro-ingénierie des Background Security Improvements (BSI), le nouveau mécanisme de correctifs silencieux d’Apple introduit avec iOS 26.1/macOS 26.1 en remplacement des Rapid Security Responses (RSR). 🛡️ Mécanisme BSI Les BSI fonctionnent via des cryptexes (images disque scellées sur le volume preboot) contenant Safari, WebKit et les bibliothèques système. Le patch applique un diff binaire sur le cryptex concerné, puis demande un nouveau manifeste Cryptex1Image4 au service de signature Apple. Le système de fichiers racine n’est pas modifié. ...

Source et contexte — nadsec.online (par NadSec) publie en mars 2026 une rétro‑ingénierie de 28 modules JavaScript du kit d’exploits iOS « Coruna », complémentaire aux rapports de Google Threat Intelligence Group et iVerify (03/03/2026). L’étude (6 630 lignes) reconstitue, depuis le JavaScript obfusqué, une chaîne complète visant iOS 16.0–17.2, détaillant 8 vulnérabilités (WebKit RCE, PAC bypass, JIT cage escape, sandbox escape), jusqu’au binaire kernel récupéré dans la nature. Principaux résultats techniques ...

Selon Malwarebytes, Apple a corrigé le 12 décembre 2025 deux vulnérabilités zero‑day dans WebKit, déjà exploitées dans la nature et associées à un spyware mercenaire, et oriente désormais les utilisateurs d’iPhone 11 et plus récents vers iOS 26+, seule branche bénéficiant des correctifs et de nouvelles protections mémoire. • Portée et impact: WebKit alimente Safari et de nombreuses applications iOS, ce qui en fait une large surface d’attaque. Les failles permettaient l’exécution de code arbitraire via du contenu web malveillant, avec un risque qui s’étend au simple affichage d’e‑mails HTML dans Apple Mail. Apple confirme une exploitation active de ces vulnérabilités. ...

Selon Cyber Security News, Apple a publié le 12 décembre 2025 les mises à jour iOS 26.2 et iPadOS 26.2 pour corriger deux 0‑days WebKit activement exploités, ainsi que plus de 30 vulnérabilités supplémentaires touchant plusieurs composants. 🚨 0‑days WebKit activement exploités CVE-2025-43529 (WebKit): vulnérabilité de use-after-free permettant une exécution de code arbitraire via du contenu web malveillant; découverte par Google Threat Analysis Group (TAG). CVE-2025-14174 (WebKit): corruption mémoire; créditée à Apple et Google TAG. Les deux failles sont liées à des campagnes de spyware ciblées, ciblant des utilisateurs spécifiques d’iPhone sur des versions antérieures à iOS/iPadOS 26. Autres correctifs critiques 🛠️ ...