Le 14 septembre, Apple a bouché une faille de macOS qui permet à une simple app de devenir root, le maître absolu de ton Mac. Le 21 septembre, le code pour l’exploiter est apparu en libre accès sur GitHub. Si ton Mac n’a pas bougé depuis l’été, c’est maintenant que ça se joue.

Ce qui s’est passé

La faille porte le numéro CVE-2026-43786. Elle se loge dans CoreServices, un socle de services de macOS sur lequel s’appuient presque toutes les apps. Apple la résume en une ligne, une app peut obtenir les privilèges root.

Le correctif ajoute des vérifications sur les autorisations qu’une app revendique auprès du système. La faille a été signalée par Kujtim Kryeziu, chercheur chez Sentry. Elle est corrigée depuis le 14 septembre dans macOS Sequoia 15.8, Tahoe 26.7 et Golden Gate 27.

Une semaine plus tard, le 21 septembre, Malwation a publié sur GitHub une preuve de concept, un fichier de code et une vidéo de démonstration. Apple la connaît et l’a corrigée, mais la recette circule désormais. Les Mac qui n’ont pas fait la mise à jour sont exactement la cible.

Root, concrètement

Sur ton Mac, ton compte, même administrateur, te redemande ton mot de passe avant de toucher au système. Root, c’est le compte au-dessus, celui qui ne demande rien à personne, celui qui a tous les droits.

Le scénario tient en trois temps. Une app piégée arrive sur ton Mac, un utilitaire gratuit, une fausse mise à jour, une pièce jointe. Elle tourne avec tes droits ordinaires, sans être administrateur, sans que tu aies à cliquer sur quoi que ce soit de plus. Elle exploite la faille, et elle devient root.

L’agence américaine de cybersécurité, la CISA, a noté la faille 7,8 sur 10, gravité élevée. Ce n’est pas Apple qui donne cette note, Apple n’en publie jamais. Pourquoi pas 9 ou 10 ? Parce que l’attaquant doit d’abord réussir à faire tourner une app sur ton Mac.

Exploitée ? Pas à ce jour

Certains titres parlent déjà de faille « exploitée ». Rien ne le confirme. Apple ne le signale pas, et la faille ne figure pas dans la liste des failles exploitées que tient la CISA.

Ce qui est vrai, c’est que le code d’attaque est public. Pour qui voudrait s’en servir, la moitié du travail est faite.

Une vague de correctifs, pas une faille isolée

Cette faille arrive au milieu d’une série chargée.

6 août. Apple corrige une faille du Partage d’écran qui permettait à un attaquant présent sur le réseau de s’y connecter sans identifiants valides. La CISA l’a notée 9,8 sur 10, et l’a ajoutée le 18 août à sa liste des failles exploitées.

14 septembre. Sequoia 15.8, Tahoe 26.7 et Golden Gate 27, avec la faille CoreServices.

28 septembre. Sequoia 15.8.1 et Tahoe 26.7.1 corrigent une faille de CoreGraphics, le moteur qui dessine images et documents. Un fichier piégé peut y faire exécuter du code. Apple indique qu’elle a pu être exploitée sur iPhone, avec une version d’iOS antérieure à iOS 27, dans une attaque extrêmement sophistiquée contre des personnes ciblées.

Le même code tourne sur Mac, d’où le correctif. La CISA l’a ajoutée le 29 septembre à sa liste. Golden Gate 27.0.1 est sorti le même jour, Apple n’y liste aucune faille corrigée.

Ne vise donc pas 15.8 ou 26.7, vise la dernière version. Sur Sequoia et Tahoe, elle couvre les trois d’un coup.

Ce que tu dois faire

Vérifie ta version. Menu Pomme > À propos de ce Mac. Le numéro s’affiche sous le nom du système.

Les versions à atteindre. Sequoia 15.8.1 ou Tahoe 26.7.1, ou plus récent. Sur Golden Gate, la dernière version disponible, 27.0.1 à ce jour. Golden Gate est réservé aux Mac Apple silicon. Un Mac Intel reste sur Tahoe ou Sequoia, et doit être en 26.7.1 ou 15.8.1.

Mets à jour. Réglages Système > Général > Mise à jour de logiciels. Dans le même écran, clique sur le (i) à côté de « Mises à jour automatiques » et active « Installer les mises à jour de macOS ». Les prochaines versions, comme 15.8.1 ou 26.7.1, s’installeront alors sans attendre ton clic.

Active aussi « Installer les fichiers de données système et les mises à jour de sécurité » sur Tahoe et Golden Gate, « Installer les mises à jour de sécurité et les fichiers système » sur Sequoia. Sur Tahoe et Golden Gate, les correctifs de sécurité rapides ont leur propre réglage, dans Confidentialité et sécurité > Améliorations de la sécurité en arrière-plan, option « Installer automatiquement ».

Encore sur Sonoma ou plus ancien ? Sonoma n’a reçu aucune mise à jour le 14 septembre, et Apple ne dit pas si cette version est touchée par la faille. Pas de quoi paniquer, pas de quoi dormir tranquille non plus. Si ton Mac peut passer à une version maintenue, fais-le.

Une partie des correctifs, Apple les pousse déjà en douce, sans te demander ton avis. Les mises à jour de version, elles, attendent ton clic tant que ce réglage reste coupé.

À lire, Ton Mac a été patché par XProtect à ton insu, c’est pour ton bien

Et en attendant

La faille a besoin d’une app malveillante déjà installée. C’est là que tu gardes la main. Installe tes apps depuis l’App Store ou le site de leur éditeur, laisse Gatekeeper actif, et méfie-toi de toute « mise à jour » qu’on te propose par mail ou depuis une page web.

Un antivirus seul ne ferme pas cette porte. Ce qu’il faut empiler par-dessus, on l’a détaillé.

À lire, L’antivirus seul ne protège plus ton Mac, voici la solution

Le code d’attaque est en ligne, le correctif aussi. Reste à savoir lequel des deux arrive le premier sur ton Mac.

Sources

• https://support.apple.com/en-us/149043
• https://support.apple.com/en-us/149042
• https://support.apple.com/en-us/149035
• https://support.apple.com/en-us/149229
• https://support.apple.com/en-us/149228
• https://support.apple.com/en-us/148170
• https://support.apple.com/en-us/100100
• https://support.apple.com/fr-fr/101591
• https://nvd.nist.gov/vuln/detail/CVE-2026-43786
• https://nvd.nist.gov/vuln/detail/CVE-2026-65400
• https://nvd.nist.gov/vuln/detail/CVE-2026-86950
• https://www.cve.org/CVERecord?id=CVE-2026-43786
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://github.com/Malwation/CVE-2026-43786