CVE-2026-20643 : Apple déploie son premier Background Securit...

CVE-2026-20643 : Apple déploie son premier Background Security Improvements

Apple vient de franchir un cap dans sa stratégie de déploiement de correctifs de sécurité. Le 17 mars 2026, la firme a poussé son tout premier patch via le mécanisme "Background Security Improvements", corrigeant une vulnérabilité WebKit référencée CVE-2026-20643.

La vulnérabilité CVE-2026-20643

La faille se situe dans la Navigation API de WebKit et constitue un contournement de la Same Origin Policy (SOP). La SOP est le mécanisme fondamental qui empêche un document chargé depuis une origine (domaine + protocole + port) d'accéder aux ressources d'une autre origine.

Selon l'advisory Apple, le vecteur d'attaque est le suivant : un contenu web malveillant pouvait exploiter un défaut de validation d'entrée dans la Navigation API pour accéder à des données cross-origin. L'exploitation ne nécessitait aucune interaction utilisateur au-delà de la visite d'une page piégée.

La faille a été découverte par le chercheur Thomas Espach. Apple n'indique pas si la vulnérabilité a été exploitée activement, ce qui suggère une divulgation responsable classique.

Versions affectées et correctif

Le correctif est disponible sur :

• iOS 26.3.1
• iPadOS 26.3.1
• macOS 26.3.1 et macOS 26.3.2

La correction passe par une validation d'entrée renforcée dans le composant Navigation API du framework WebKit. Tous les navigateurs sur iOS/iPadOS utilisent WebKit comme moteur de rendu (contrainte imposée par Apple), ce qui signifie que la faille touchait Safari, Chrome, Firefox et tout autre navigateur sur ces plateformes.

Le mécanisme Background Security Improvements

Introduit avec iOS 26.1, iPadOS 26.1 et macOS 26.1, ce mécanisme permet à Apple de déployer des patches ciblés sur des composants spécifiques (Safari, WebKit, bibliothèques système) sans nécessiter de mise à jour OS complète ni de redémarrage.

C'est une évolution du système Rapid Security Response (RSR) introduit avec iOS 16.4 en 2023. Les différences clés :

Rapid Security Response (2023-2025) :

• Nécessitait un redémarrage
• Visible dans les réglages comme une mise à jour distincte
• Ajoutait un suffixe (a), (b), (c) au numéro de version
• Pouvait être désinstallé individuellement

Background Security Improvements (2026+) :

• S'installe en arrière-plan, sans redémarrage
• Application transparente pour l'utilisateur
• Cible des composants individuels (framework, bibliothèque)
• La désinstallation revient à la baseline OS, supprimant tous les patches incrémentaux

Ce dernier point est important : contrairement aux RSR qui pouvaient être retirés un par un, la désinstallation d'un Background Security Improvement supprime l'ensemble des correctifs incrémentaux, ramenant l'appareil au niveau de sécurité de la version OS de base.

Implications pour la sécurité

Ce mécanisme réduit drastiquement la fenêtre d'exposition entre la découverte d'une faille et son déploiement effectif chez l'utilisateur final. Les données Apple sur les taux d'adoption des mises à jour montrent historiquement un délai de 2 à 4 semaines pour que 80% des appareils soient à jour. Avec les correctifs silencieux, ce délai tombe à quelques heures.

Pour les équipes de sécurité en entreprise, cela change la donne en matière de gestion des vulnérabilités. Les appareils Apple sous MDM (Mobile Device Management) devront potentiellement adapter leurs politiques de conformité pour intégrer ces correctifs hors cycle.

Comparaison avec l'écosystème

Apple rejoint un modèle déjà pratiqué par d'autres éditeurs :

• Google Chrome : mises à jour silencieuses du navigateur depuis 2009
• Microsoft : correctifs cumulatifs mensuels + patches out-of-band pour les failles critiques
• Mozilla Firefox : mises à jour automatiques en arrière-plan

La particularité d'Apple est d'étendre ce modèle au-delà du navigateur, à l'ensemble du framework WebKit et des bibliothèques système. La granularité de ciblage est plus fine que ce que proposaient les RSR.

Recommandations

La fonctionnalité est activée par défaut. Pour vérifier ou réactiver :

• iOS/iPadOS : Réglages → Confidentialité et sécurité → Background Security Improvements
• macOS : Menu Pomme → Réglages système → Confidentialité et sécurité

Sauf problème de compatibilité avéré (Apple mentionne la possibilité de retrait temporaire en cas de souci), il est fortement déconseillé de désactiver cette fonctionnalité. La surface d'attaque WebKit est l'un des vecteurs les plus exploités sur l'écosystème Apple — les chaînes d'exploit des spywares comme Pegasus commençaient régulièrement par une faille WebKit.