Apple a publié iOS 27.2 et iPadOS 27.2 le 26 octobre 2026. Son avis de sécurité décrit plusieurs impacts potentiels, dont l’accès à des données sensibles via Apple Intelligence, la révélation d’une adresse utilisée avec Masquer mon adresse e-mail et l’exécution de code à partir de contenu web malveillant. Ces descriptions portent sur des risques liés à des failles corrigées, pas sur des intrusions rapportées chez des utilisateurs.
Un décompte de 163 identifiants CVE pour l’avis commun à l’iPhone et à l’iPad a été rapporté par Notebookcheck. Apple, dans son avis de sécurité sur iOS 27.2 et iPadOS 27.2, décrit les failles individuellement plutôt que d’annoncer ce total.
Les impacts et correctifs associés à quatre CVE
Apple décrit des scénarios distincts, avec des conditions et des composants différents. CVE désigne un identifiant attribué à une vulnérabilité répertoriée.
| CVE et composant | Impact potentiel décrit par Apple | Correctif indiqué par Apple |
| CVE-2026-86987, Apple Intelligence | Un attaquant à distance pourrait accéder à des données sensibles. | Vérifications renforcées des droits d’accès. |
| CVE-2026-112500, Mail et Masquer mon adresse e-mail | L’adresse e-mail d’origine pourrait être révélée. | Restrictions renforcées. |
| CVE-2026-112697, WebKit | Un contenu web conçu à cet effet pourrait permettre l’exécution de code arbitraire. | Gestion mémoire améliorée pour corriger un défaut de type « use-after-free », où un programme réutilise une zone mémoire déjà libérée. |
| CVE-2026-112612, Comptes | Une personne ayant un accès physique à un appareil jumelé de confiance pourrait lire et modifier des fichiers. | Validation des chemins d’accès améliorée. |
Pour CVE-2026-86987, Apple indique que le problème concerne l’iPhone 15 Pro et les modèles ultérieurs, ainsi que certains modèles d’iPad Pro, d’iPad Air et d’iPad mini. La condition d’accès physique, elle, concerne CVE-2026-112612 : elle ne s’applique pas aux autres failles du tableau.
Le bulletin recense aussi une faille dans Mail susceptible de révéler l’adresse d’origine associée à Masquer mon adresse e-mail. Une autre, dans WebKit, concerne l’exécution de code après le traitement d’un contenu web malveillant. Les formulations d’Apple décrivent des impacts possibles pour ces vulnérabilités.
Ce que l’avis dit de l’exploitation active
Dans son avis du 26 octobre, Apple répertorie les correctifs sans qualifier les failles d’exploitées activement. Cette publication ne permet donc pas de conclure qu’une exploitation a eu lieu ou qu’elle n’a jamais eu lieu.
Pour situer cette nouvelle version, notre article sur les correctifs de sécurité d’iOS 27 revient sur la mise à jour précédente. iOS 27.2 et iPadOS 27.2 font l’objet d’un avis distinct, avec leurs propres vulnérabilités et correctifs.
Comment Apple évalue les signalements de failles
Apple demande des signalements exploitables, accompagnés d’étapes reproductibles et d’un exploit fonctionnel ou d’une preuve de concept fiable. Dans les règles de son programme Apple Security Research, l’entreprise exclut des primes les vulnérabilités découvertes à l’aide de l’intelligence artificielle si elles n’ont pas été correctement validées. Ces critères décrivent la procédure de signalement d’Apple, pas l’origine des failles corrigées dans iOS 27.2.
