Une faille dans CoreMedia contournait l’autorisation caméra
Apple a discrètement colmaté cette semaine une faille de sécurité plutôt inquiétante. Au cœur des mises à jour iOS 27.2 et macOS Golden Gate 27.2 se niche un correctif pour un bug, référencé CVE-2026-86990, qui aurait permis à une application malveillante d’accéder à la caméra de votre iPhone ou Mac sans votre consentement. C’est le genre de découverte qui donne des sueurs froides, même pour un habitué des alertes sécurité.
Le problème ne vient pas du matériel. Depuis longtemps, chez Apple, le module caméra et le témoin lumineux vert sont sur le même circuit. Non, la vulnérabilité se situait dans CoreMedia, le framework système qui gère l’audio et la vidéo. Les notes d’Apple sont laconiques : un problème d’accès a été résolu via une amélioration des restrictions. Concrètement, l’invite système demandant l’autorisation pouvait être complètement contournée.
Sur Mac, c’est le système TCC, le gardien des permissions, qui était trompé. La bonne nouvelle, c’est que le témoin lumineux vert se serait quand même allumé. Pour les iPhones récents, c’est le point vert dans la barre d’état. Le circuit matériel qui le relie à la caméra a tenu bon. Mais c’est là que le bât blesse : ce voyant ne sert à rien si personne ne le regarde.
Le voyant vert ne suffit pas face à une application sournoise
Imaginez votre téléphone posé sur la table, écran vers le bas, ou votre MacBook ouvert alors que vous êtes parti chercher un café. Dans ces moments, aucune lumière verte ne pourrait vous alerter. Une application exploitant cette faille aurait pu obtenir un flux vidéo en direct de votre environnement sans le moindre signe visible, tant que l’appareil n’était pas surveillé. C’est un scénario parfait pour un logiciel espion.
Heureusement, selon les informations disponibles, cette vulnérabilité n’a pas été exploitée dans la nature avant d’être corrigée. Mais sa découverte relance un débat familier : celui de l’utilité réelle des cache-caméra physiques, ces petits stickers ou volets plastique. Ici, un cache n’aurait rien changé au déclenchement clandestin de la caméra. Il aurait juste obscurci la vue, sans vous prévenir de l’activité.
Pour une surveillance active, des outils logiciels comme OverSight de Patrick Wardle sont bien plus pertinents. Cette application gratuite et open source surveille les accès au microphone et à la caméra en temps réel, et vous signale quelle application est à l’origine de l’activation. C’est une couche de protection proactive qu’un bout de plastique ne peut tout simplement pas offrir.
La leçon immédiate est simple : mettez à jour vos appareils. Installez sans tarder iOS 27.2, macOS Golden Gate 27.2, ou les versions de sécurité pour les systèmes précédents comme iOS 26.7.2. Les propriétaires d’iPhone plus anciens, comme les modèles XS et XR, reçoivent le correctif via iOS 18.7.11.
Profitez-en pour auditer les permissions de vos applications
Cette alerte est aussi une excellente occasion de faire le ménage dans les autorisations que vous avez accordées. Sur iPhone, rendez-vous dans Réglages > Confidentialité et sécurité > Caméra. Sur Mac, c’est dans Préférences Système > Confidentialité et sécurité > Caméra. La liste des applications autorisées réserve souvent des surprises.
Vous y trouverez peut-être des applications que vous n’utilisez plus, ou dont vous ne vous souvenez même pas avoir accordé l’accès. Révoquer ces permissions est rapide et redonne un peu de contrôle sur votre vie privée numérique. Dans un monde où les caméras sont omniprésentes, ces petits gestes font partie d’une hygiène numérique essentielle, bien plus efficace que de coller un morceau de ruban adhésif sur son écran.