Apple a publié des mises à jour de sécurité le 12 décembre 2025 pour plusieurs systèmes d’exploitation. Les correctifs corrigent deux failles critiques du moteur de navigateur WebKit, identifiées comme CVE-2025-43529 et CVE-2025-14174. Les vulnérabilités Essas permettaient l’exécution de code arbitraire ou la corruption de la mémoire lors du traitement de contenu Web malveillant.
La société a confirmé que les failles avaient été exploitées dans le cadre d’attaques très ciblées contre des individus spécifiques dans les versions précédentes d’iOS. L’un d’eux, CVE-2025-14174, affectait également le navigateur Chrome de Google, qui a reçu un correctif distinct le 10 décembre.
Les mises à jour couvrent iOS, iPadOS, macOS, tvOS, watchOS, visionOS et Safari. Usuários doit installer les dernières versions pour atténuer les risques.
Détails des vulnérabilités corrigées
CVE-2025-43529 est un problème d’utilisation après libération dans WebKit. La faille Essa pourrait permettre aux attaquants d’exécuter du code arbitraire sur les appareils concernés via des pages Web contrefaites.
Les chercheurs de Google Threat Analysis Group ont identifié et signalé le problème à Apple. L’exploit nécessitait uniquement que la victime accède au contenu malveillant dans un navigateur.
CVE-2025-14174 implique une corruption de mémoire lors du traitement du contenu Web. Ela a un score CVSS de 8,8, indiquant une gravité élevée.
Cette même vulnérabilité a impacté la bibliothèque ANGLE sur Chrome, avec une correction coordonnée entre Apple et Google. Ambas les failles affectent WebKit, obligatoirement utilisé dans tous les navigateurs sur iOS et iPadOS.
- Exécution de code à distance sans interaction utilisateur supplémentaire.
- Potentiel d’installation de logiciels espions sur les appareils cibles.
- Exploration limitée à des campagnes ciblées et non de masse.
Versions mises à jour et appareils compatibles
Les correctifs arrivent via des versions spécifiques pour chaque plateforme. Les mises à jour Para iOS et iPadOS sont iOS 26.2 et iPadOS 26.2, ainsi que iOS 18.7.3 et iPadOS 18.7.3 pour les anciens modèles.
Ils couvrent les iPhones à partir du XS, les iPads des générations récentes et les iPad mini compatibles. Sur macOS Tahoe 26.2, la mise à jour s’applique à Macs exécutant cette version.
- tvOS 26.2 : Apple TV HD et 4K tous les modèles.
- watchOS 26.2 : Apple Watch Series 6 et versions ultérieures.
- visionOS 26.2 : Todos les modèles de Apple Vision Pro.
- Safari 26.2 : Macs avec macOS Sonoma ou Sequoia.
Les utilisateurs reçoivent automatiquement les mises à jour ou peuvent les installer manuellement à partir des paramètres du logiciel.
Contexte des explorations zero-day en 2025
Avec ces correctifs, Apple atteint neuf vulnérabilités zero-day exploitées au cours de l’année. Anteriormente, la société a corrigé des failles telles que CVE-2025-24085, CVE-2025-24200 et CVE-2025-24201 début 2025.
D’autres incluent CVE-2025-31200, CVE-2025-31201, CVE-2025-43200 et CVE-2025-43300. Muitas d’entre eux impliquaient des composants tels que Kernel ou ImageIO.
La fréquence des zero-days reflète l’intérêt des attaquants avancés pour les écosystèmes Apple. Colaborações avec des groupes comme le Google TAG a aidé à détecter rapidement ces menaces.
Ces incidents soulignent l’importance des mises à jour régulières sur les appareils mobiles et de bureau.
Caractéristiques techniques de WebKit
WebKit sert de moteur de rendu open source utilisé dans Safari. Sur iOS et iPadOS, tous les navigateurs tiers, notamment Chrome, Edge et Firefox, en dépendent en raison de restrictions de sécurité.
Cela rend les failles de WebKit particulièrement critiques pour les utilisateurs de Apple. Ataques peut exploiter des navigateurs alternatifs sans avoir recours à des applications malveillantes.
La bibliothèque ANGLE, impliquée dans CVE-2025-14174, gère les graphiques WebGL. Problemas dans cette couche affecte le rendu sur plusieurs plates-formes.
Les améliorations de la gestion de la mémoire résolvent les plantages signalés.
Collaboration entre Apple et Google
La découverte conjointe reflète la coordination entre les équipes de sécurité. Le Google TAG et le Apple SEAR ont travaillé ensemble pour identifier CVE-2025-14174.
Google a mis à jour pour la première fois le bureau Chrome le 10 décembre. Apple a suivi avec des mises à jour complètes deux jours plus tard.
Ce partenariat accélère les réponses aux menaces partagées dans les composants open source. Explorações suggère une utilisation dans des campagnes de logiciels espions mercenaires.
Autres correctifs dans la même mise à jour
Les mises à jour incluent des correctifs pour plus de 20 failles supplémentaires dans divers composants. Problemas dans Kernel, comme le débordement d’entier, pourrait permettre une élévation de privilèges.
Les failles dans les frameworks tels que FaceTime, Messages et App Store reçoivent également des correctifs. Algumas impliquait un accès inapproprié à des données sensibles.
- CVE-2025-46285 : Overflow sur Kernel avec potentiel racine.
- Problèmes sur Screen Time exposant l’historique de navigation.
- Correctifs dans curl et autres modules réseau.
Ces améliorations générales renforcent la sécurité globale des systèmes.
Recommandations aux utilisateurs
Les experts conseillent l’installation immédiate des mises à jour disponibles. Sur votre iPhone ou iPad, accédez à Ajustes > Geral > Atualização ou Software.
Sur Macs, utilisez Preferências de Sistema ou Configurações pour rechercher des mises à jour. Les anciens Dispositivos reçoivent des versions de support étendu comme iOS 18.7.3.
Le maintien de sauvegardes régulières complète les mesures de protection. Les liens suspects Evitar réduisent le risque d’exploitation via le web. L’US Agência de Cibersegurança a ajouté l’une des failles au catalogue des vulnérabilités exploitées connues.
Évolution des menaces pesant sur les appareils Apple
L’exploitation des failles de WebKit reste courante dans les attaques ciblées. Au cours des années précédentes, des vulnérabilités similaires ont facilité l’installation d’outils de surveillance.
La réponse rapide de Apple limite l’impact de ces campagnes. L’accent mis sur les attaques sophistiquées indique des cibles de premier plan telles que des journalistes ou des militants.
Une surveillance continue par des équipes internes et externes maintient la détection efficace.
