- Bynario a révélé CVE-2026-43760, une faille d’exécution de code à distance sur macOS permettant de créer des fichiers avec les privilèges root via une ancienne option de mot de passe VNC
- Apple l’a corrigée le 27 juillet 2026 dans macOS Tahoe 26.6 et Sonoma 14.8.8. Les utilisateurs qui n’ont pas encore installé le correctif doivent désactiver le partage d’écran, la gestion à distance ou l’ancienne option VNC
- Le signalement a été retardé, car Apple limitait les soumissions face à l’afflux de rapports de bugs générés par l’IA. L’entreprise a toutefois directement contacté les chercheurs afin de corriger cette faille
Apple a corrigé une vulnérabilité de gravité élevée qui permettait à des acteurs malveillants d’exécuter du code à distance avec les privilèges root sur certains Mac. La faille aurait probablement été corrigée encore plus tôt si l’entreprise n’avait pas été submergée de rapports de vulnérabilités médiocres générés par l’IA.
Les chercheurs en sécurité de Bynario ont publié un rapport détaillé sur la découverte d’une faille d’exécution de code à distance sur des appareils équipés de macOS 26.5.2. Les tests ont été menés sur des systèmes Apple Silicon M4 et M5, avec la protection de l’intégrité du système, ou SIP, activée.
Selon Bynario, la vulnérabilité touche les Mac sur lesquels le partage d’écran ou la gestion à distance est activé, ainsi que l’ancienne option « Les utilisateurs VNC peuvent contrôler l’écran avec un mot de passe ».
Sur ces appareils, un acteur malveillant capable d’obtenir le mot de passe VNC et de s’authentifier sur le Mac pouvait effectuer des transferts de fichiers avec les privilèges root en raison d’une erreur logique. Aucun compte macOS ne devait être compromis, seul le mot de passe VNC était nécessaire.
Submergée par le flot de contenus générés par l’IA
L’attaquant pouvait alors créer de nouveaux fichiers appartenant à root partout où le système l’autorisait.
Dans leur rapport, les chercheurs ont montré qu’il était possible de créer un fichier valide dans le répertoire /private/etc/sudoers.d afin d’accorder des privilèges sudo sans mot de passe. Une fois cette règle mise en place, ils pouvaient exécuter des commandes avec les privilèges root.
Dans un autre rapport, les chercheurs ont expliqué qu’Apple avait dû limiter le nombre de signalements de bugs actifs que chaque chercheur pouvait maintenir ouverts simultanément. Les équipes de sécurité de l’entreprise étaient en effet submergées de rapports médiocres générés par l’IA.
Comme ils avaient déjà atteint cette limite après avoir soumis plus de 50 bugs en trois semaines, les chercheurs n’ont pas pu signaler cette faille d’exécution de code à distance plus tôt. Ils ont toutefois précisé qu’Apple avait directement contacté Bynario pour examiner la vulnérabilité, puis la corriger.
La faille est désormais référencée sous le numéro CVE-2026-43760 et a reçu un score de gravité de 8,6 sur 10, ce qui correspond à un niveau élevé.
Apple a publié les mises à jour le 27 juillet 2026 afin de corriger la vulnérabilité dans macOS Tahoe 26.6 et macOS Sonoma 14.8.8.
Les utilisateurs qui ne peuvent pas installer le correctif doivent désactiver l’ancienne option « Les utilisateurs VNC peuvent contrôler l’écran avec un mot de passe », ou désactiver entièrement le partage d’écran et la gestion à distance.
- Les meilleurs antivirus pour Mac
- Meilleurs antivirus : quelle solution gratuite, premium ou business choisir ?
