La dernière mise à jour de sécurité iOS 27.2.1 d’Apple n’aurait pas corrigé la vulnérabilité worse_query, qui pourrait exposer les identifiants des portefeuilles de cryptomonnaies, bien qu’elle traite neuf autres failles de sécurité.
Résumé
- La mise à jour iOS 27.2.1 d’Apple corrige neuf vulnérabilités de sécurité, mais le chercheur à l’origine de worse_query affirme que la faille reste non corrigée.
- La vulnérabilité worse_query permet à des applications malveillantes de contourner les restrictions du bac à sable d’iOS et d’accéder potentiellement à des informations sensibles stockées par les portefeuilles de cryptomonnaies.
- Binance a exhorté les utilisateurs de cryptomonnaies à supprimer les applications non fiables, à mettre à jour leurs appareils et à transférer leurs fonds vers un nouveau portefeuille s’ils soupçonnent que leurs identifiants ont été compromis.
- Les notes de sécurité officielles d’Apple ne mentionnent pas worse_query parmi les correctifs inclus dans la dernière mise à jour.
Le chercheur à l’origine de l’exploit, connu sous le nom de forcequitOS, a déclaré le 10 novembre que la vulnérabilité restait active à la fois dans iOS 27.2.1 et dans la première bêta d’iOS 27.3, contredisant les suggestions selon lesquelles la dernière mise à jour d’Apple avait résolu le problème.
Apple a publié iOS 27.2.1 le 9 novembre, un jour après que le chercheur a publié le code source de l’exploit sur GitHub. Ses notes de sécurité officielles listent des correctifs pour plusieurs composants, mais ne mentionnent pas worse_query.
La divulgation a suscité des inquiétudes parmi les utilisateurs de cryptomonnaies après que Binance a averti que des applications malveillantes pourraient exploiter la vulnérabilité pour accéder à des fichiers sensibles appartenant à d’autres applications, exposant potentiellement des clés privées et des phrases de récupération de portefeuilles.
Le chercheur affirme que worse_query reste non corrigée dans iOS 27.2.1
Dans une déclaration du 10 novembre sur X, forcequitOS a directement abordé la confusion entourant le statut de la vulnérabilité à la suite de la dernière version logicielle d’Apple.
Le chercheur a déclaré que worse_query n’était « pas corrigée dans iOS 27.2.1 et 27.3 bêta 1 » et a promis de mettre à jour la documentation du projet une fois qu’Apple aurait publié un correctif fonctionnel.
Selon le dépôt GitHub, l’exploit affecte les versions d’iOS 26.0 à 26.7.2 et iOS 27.2. Le développeur l’a décrit comme un successeur d’une vulnérabilité antérieure appelée bad_query.
Worse_query cible le bac à sable applicatif d’Apple, qui limite normalement l’accès de chaque application à ses propres fichiers et empêche l’accès non autorisé aux informations stockées par d’autres applications.
La preuve de concept publiée démontre comment une application peut contourner ces restrictions et atteindre des conteneurs de données appartenant à des applications non liées, y compris des groupes d’applications partagés et certains répertoires système.
Bien que le chercheur ait décrit le code original comme un outil de développeur qui ne peut pas être utilisé indépendamment sans configuration supplémentaire, d’autres développeurs ont depuis créé des applications capables d’utiliser cette technique.
Un exemple est WQ Files, développé par Christoph Kolbicz, qui permet aux utilisateurs de parcourir, exporter, modifier et supprimer des fichiers appartenant à d’autres applications sans jailbreaker un iPhone.
La mise à jour de sécurité d’Apple corrige neuf vulnérabilités distinctes
Selon l’avis de sécurité officiel d’Apple, iOS 27.2.1 corrige neuf vulnérabilités affectant AirPlay, Bluetooth, Messages, App Intents, Brotli, CoreUtils et rapportd.
Parmi les correctifs figure CVE-2026-113963, une vulnérabilité d’autorisation dans App Intents qui pourrait permettre à des applications d’accéder à des informations sensibles des utilisateurs.
Apple a crédité le chercheur en sécurité László Várady d’avoir découvert le problème et a déclaré l’avoir résolu grâce à une meilleure gestion de l’état.
Bien que la vulnérabilité concerne l’accès non autorisé à des informations sensibles, la documentation d’Apple identifie un composant affecté différent du mécanisme App Group utilisé par worse_query.
La mise à jour corrige deux vulnérabilités de Messages, dont une qui pourrait permettre à un attaquant distant de rejoindre une conversation de groupe iMessage et de recevoir des messages sans autorisation.
Une autre faille pourrait permettre aux participants nouvellement ajoutés d’accéder aux messages envoyés avant leur arrivée dans une conversation.
D’autres correctifs traitent des faiblesses d’appairage Bluetooth et une vulnérabilité de corruption de mémoire Brotli causée par une entrée spécialement conçue.
Apple a rendu la mise à jour disponible pour l'iPhone 11 et les modèles plus récents, ainsi que pour les iPad compatibles.
Binance avertit que les portefeuilles crypto pourraient être exposés
La déclaration du chercheur fait suite à un avertissement de Binance du 10 novembre, qui identifiait iOS 26.7.1, 27.0.1 et 27.2 parmi les versions logicielles concernées.
Comme précédemment rapporté par crypto.news, l'échange a averti que des applications malveillantes pourraient accéder à des informations stockées localement appartenant à d'autres applications, exposant potentiellement les phrases de récupération des portefeuilles, les clés privées et les identifiants de connexion.
Un porte-parole de Binance a déclaré que l'échange n'avait identifié aucun vol de cryptomonnaie confirmé lié à worse_query.
L'échange a conseillé aux utilisateurs de supprimer les applications installées depuis des sources non fiables, y compris les fichiers IPA sideloadés ou signés manuellement, et de mettre à jour leurs appareils et applications vers les dernières versions officielles.
Pour les utilisateurs qui soupçonnent que leurs identifiants ont déjà été compromis, Binance a recommandé de transférer les actifs vers un nouveau portefeuille créé sur un appareil propre et de réinitialiser les sessions de connexion actives.
L'avertissement concerne spécifiquement les applications capables d'exploiter la vulnérabilité du bac à sable. L'exploit publié nécessite une application configurée avec un conteneur App Group, ce qui signifie que la technique ne compromet pas à elle seule un iPhone via une navigation ordinaire sur des sites web.
Les recommandations de Binance vont donc au-delà de l'installation de la dernière mise à jour logicielle d'Apple, l'échange exhortant les utilisateurs à éviter les paquets d'applications non autorisés tant que la vulnérabilité reste préoccupante.
