Les applications iPhone ne sont pas censées fouiller dans les fichiers des unes et des autres. Un exploit iOS récemment divulgué laisse penser que cette protection ne tient pas toujours.
La plateforme d’échange de cryptomonnaies Binance a averti d’une vulnérabilité touchant certaines versions d’iOS, qui pourrait permettre à une application malveillante d’accéder aux fichiers appartenant à une autre application et d’exposer potentiellement des informations sensibles stockées sur l’appareil.
Dans un avertissement du 10 novembre, Binance a souligné le risque pour les utilisateurs de cryptomonnaies, dont les portefeuilles et les applications d’échange peuvent contenir des informations précieuses. La vulnérabilité soulève également des inquiétudes plus générales sur la manière dont iOS protège les données entre les applications, même si aucun élément ne confirme une exploitation malveillante.
La vulnérabilité au cœur de l’annonce de Binance
Binance affirme que la vulnérabilité, surnommée worse_query, touche iOS 26.7.1, 27.0.1 et le nouvel iOS 27.2, et pourrait permettre à des applications malveillantes d’accéder aux fichiers d’autres applications. Pour comprendre pourquoi c’est un problème, il faut d’abord voir comment Apple sépare normalement les applications.
Une application iOS fonctionne dans ce que l’on appelle un bac à sable. Imaginez une zone de stockage privée où l’application conserve ses fichiers et ses données, avec des restrictions empêchant les autres applications d’y accéder librement.
Ainsi, même si une application malveillante parvient à s’installer sur votre iPhone, elle ne devrait pas pouvoir simplement ouvrir le stockage d’une autre application et commencer à en lire le contenu.
Le chercheur en sécurité forcequitOS a publié sur GitHub, le 8 novembre, une preuve de concept (PoC) appelée worse_query montrant comment ces restrictions pourraient être contournées sans jailbreaker l’iPhone ni exploiter son noyau.
Il ne s’agit pas seulement d’une preuve de concept laissée sur GitHub. Un développeur, Christoph Kolbicz, a testé la technique sur une application appelée WQ Files.
La démonstration montre comment la technique pourrait être intégrée à une application, au lieu de rester une vulnérabilité théorique. Toutefois, une preuve de concept fonctionnelle ne permet pas d’établir que des attaquants ont exploité la faille contre des utilisateurs dans la nature.
Les utilisateurs de cryptomonnaies sont davantage exposés
L’alerte de Binance se concentre sur le risque spécifique que cette vulnérabilité pourrait poser à ses utilisateurs déjà éprouvés.
Les plateformes d’échange de cryptomonnaies comme Binance stockent localement certaines informations sensibles des utilisateurs dans leurs applications, au sein des zones de stockage protégées qu’iOS leur attribue. Si une application malveillante peut contourner ces protections et lire les données stockées, elle pourrait obtenir des informations qu’un attaquant pourrait utiliser pour accéder au compte d’une victime et potentiellement à ses fonds.
La plateforme cite notamment les phrases de récupération, les clés privées et les identifiants de connexion parmi les informations susceptibles d’être exposées.
Toutefois, l’exposition réelle dépend de ce qu’une application stocke localement et de la manière dont ces informations sont protégées. L’accès aux fichiers d’une application ne signifie pas nécessairement qu’un attaquant peut récupérer des identifiants sécurisés par le trousseau iOS ou d’autres mécanismes de chiffrement.
BleepingComputer rapporte qu’il n’existe actuellement aucun élément prouvant que des attaquants exploitent la vulnérabilité contre des détenteurs de cryptomonnaies.
L’impact potentiel dépasse également le cadre des applications de cryptomonnaies. Les applications bancaires et autres applications financières peuvent stocker localement des informations sensibles, même si le risque dépend de leurs pratiques de stockage et de leurs contrôles de sécurité. La technique divulguée ne permet pas à elle seule d’établir que des attaquants peuvent accéder aux identifiants bancaires ou contourner les protections d’authentification.
Apple a-t-elle corrigé la vulnérabilité d’iOS ?
La veille de la publication de Binance sur X, Apple a publié une mise à jour de sécurité corrigeant neuf vulnérabilités. Selon BleepingComputer, l’une des failles est référencée sous le numéro CVE-2026-113963 et pourrait permettre à une application d’accéder à des données sensibles d’utilisateurs.
Cela semble similaire à l’évasion du bac à sable signalée par Binance, notamment parce que les deux problèmes permettent à des applications d’accéder à des données qu’elles ne devraient normalement pas pouvoir atteindre.
Apple n’a toutefois pas explicitement confirmé si ce correctif corrige également worse_query ou le problème sous-jacent signalé par Binance.
La similitude entre leurs descriptions mérite d’être relevée, mais elle ne suffit pas à établir qu’il s’agit de la même vulnérabilité. Pour l’instant, les utilisateurs ne disposent d’aucune confirmation claire indiquant que les dernières mises à jour de sécurité d’Apple ont comblé la faille démontrée par l’exploit.
Quelle solution pour les utilisateurs d’iOS ?
Compte tenu de l’avertissement public de Binance et de la réponse vague d’Apple, les utilisateurs ne devraient pas se croire à l’abri, même s’ils n’utilisent ni Binance ni aucune application de cryptomonnaie.
Il reste important d’installer les dernières mises à jour de sécurité, mais les utilisateurs devraient également examiner les applications installées sur leurs appareils, en particulier celles provenant de sources inconnues.
Toute personne qui pense que la phrase de récupération ou les clés privées de son portefeuille de cryptomonnaies ont été exposées devrait transférer ses actifs vers un portefeuille nouvellement créé à l’aide d’un appareil fiable. La simple mise à jour d’iOS ne peut pas protéger les fonds associés à une phrase de récupération déjà compromise.
- Applications non fiables : Supprimez les applications inutiles, en particulier celles installées depuis des sources tierces inconnues.
- Mettez iOS à jour : Installez les dernières mises à jour de sécurité disponibles pour votre appareil, même si Apple n’a pas explicitement confirmé l’existence d’un correctif pour worse_query.
- Mettez vos applications à jour : Gardez à jour les applications bancaires, de cryptomonnaies et autres applications qui traitent des informations sensibles.
- Surveillez l’activité de vos comptes : Soyez attentif aux transactions, sessions de connexion et autres signes d’accès non autorisé.
- Transférez les fonds compromis : Si les informations secrètes de votre portefeuille ont pu être exposées, créez un nouveau portefeuille sur un appareil fiable et transférez-y vos fonds. Une mise à jour d’iOS ne peut pas, à elle seule, invalider une phrase de récupération exposée.
Le worse_query rappelle une fois de plus que la sécurité d’un appareil ne se résume pas à l’installation des mises à jour — les applications que vous installez et les informations sensibles que vous stockez sur votre appareil comptent tout autant. Même en l’absence d’attaques confirmées, ces précautions valent la peine d’être prises.
Tant que l’étendue du problème et l’état du correctif n’ont pas été confirmés, les utilisateurs devraient se méfier des applications inconnues et maintenir leurs appareils à jour.
Par ailleurs, Apple a publié iOS 27.2.1 et iPadOS 27.2.1, corrigeant des vulnérabilités de sécurité touchant les discussions de groupe iMessage, l’appairage Bluetooth et AirPlay, tout en déployant également des mises à jour pour les appareils plus anciens afin d’aider les utilisateurs à rester protégés.