CVE-2024-27834 : une faille Apple corrigée en 2024 est désormais confirmée comme exploitée

Ce que permet la faille

CVE-2024-27834 permet de contourner Pointer Authenticationune protection des puces Apple qui signe les adresses mémoire, pour que le programme remarque quand un attaquant les modifie. La description d’Apple dans la fiche CVE est brève : « un attaquant disposant d’une capacité arbitraire de lecture et d’écriture peut parvenir à contourner Pointer Authentication ».

Cette condition compte. Le bug ne suffit pas à entrer. L’attaquant a d’abord besoin d’une autre faille qui lui donne la lecture et l’écriture arbitrairesla possibilité de lire et de modifier n’importe quelle partie de la mémoire d’un programme, en général via un bug du navigateur. Pointer Authentication est ce qui l’empêche normalement de transformer cet accès en contrôle de l’appareil, et cette faille fait tomber la barrière. En pratique, ce type de contournement sert de maillon dans une chaîne d’exploits.

La CISA a ajouté à la fiche un score CVSS 3.1 de 5,5. Le vecteur AV:L/AC:L/PR:L/UI:N indique que l’attaquant doit déjà exécuter du code sur l’appareil.

Pourquoi maintenant

La CVE a été publiée le 13 mai 2024. La CISA ajoute une faille à son catalogue quand elle dispose de preuves d’exploitation, ce qui peut arriver bien après le correctif. Son entrée ne dit pas quand les attaques ont eu lieu ni qui les a menées, et la description d’Apple dans la fiche CVE ne parle pas d’exploitation. Les faits établis se limitent donc à la date du correctif et à l’ajout du 4 novembre 2026.

Que faire

Sur un iPhone ou un iPad, ouvrez Réglages > Général > Mise à jour logicielle et installez ce qui est proposé. Sur un Mac, ouvrez Réglages Système > Général > Mise à jour de logiciels. Tout appareil mis à jour depuis mai 2024 vers Safari 17.5, iOS ou iPadOS 16.7.8 ou 17.5, macOS Sonoma 14.5, tvOS 17.5 ou watchOS 10.5, ou une version plus récente, a le correctif.

Les appareils à surveiller sont ceux qui ne se mettent plus à jour, comme un vieil iPad rangé dans un tiroir ou les Mac d’un bureau restés sur une ancienne version de macOS. Les agences fédérales civiles américaines ont jusqu’au 18 novembre 2026 pour régler le problème.

Sur Android, vous pouvez faire une vérification semblable avec notre guide pour trouver le niveau de correctif de sécurité Android. Pour une faille exploitée en ce moment sur des réseaux d’entreprise, lisez notre analyse des attaques contre Ivanti Connect Secure.