CVE-2026-65400 vient d'offrir à des milliers d'attaquants un accès root sur des Mac d'entreprise via Screen Sharing, sans mot de passe, depuis Internet. 18 400 machines exposées. Des miners Monero installés avant même que les équipes IT ne sachent que la faille existait. C'est le moment de tuer définitivement le mythe le plus persistant de l'informatique d'entreprise : non, les Macs ne sont pas naturellement sécurisés.

Le mythe des origines : comment cette croyance a prospéré pendant vingt ans

La croyance en l'immunité macOS n'est pas née du vide. Elle a des racines historiques réelles. Dans les années 2000 et 2010, macOS représentait 5 à 10 % du parc mondial — une cible marginale pour des groupes cybercriminels optimisant leur retour sur investissement. Les premiers malwares macOS sérieux n'ont émergé qu'en 2012 avec Flashback (600 000 Mac compromis via Java). Pendant des années, cette rareté relative des attaques a été interprétée à tort comme une supériorité technique intrinsèque de la plateforme.

Apple a contribué activement à ce mythe dans ses campagnes marketing. La série de publicités "Get a Mac" (2006-2009) mettait explicitement en scène un PC maladroit contaminé par des virus face à un Mac zen et sain. Le message était clair : achetez un Mac, oubliez la sécurité. Vingt ans plus tard, ce message résonne encore dans les directions générales qui décident du parc informatique de leurs entreprises.

La réalité technique était plus nuancée dès le départ. macOS repose sur Darwin (BSD), un système Unix avec un modèle de permissions robuste. Gatekeeper, SIP (System Integrity Protection), et plus récemment les extensions de sécurité kernel ont effectivement rendu certaines classes d'attaques plus difficiles. Mais "plus difficile" n'a jamais signifié "impossible". Et la croissance de la part de marché macOS en entreprise — de 10 % en 2015 à plus de 25 % en 2025 selon IDC — a rendu la plateforme suffisamment attractive pour justifier des investissements en recherche offensive structurés.

Le résultat en 2026 ? Un écosystème de menaces macOS mature, professionnel, et largement sous-estimé par des équipes de sécurité qui ont passé vingt ans à se former exclusivement sur Windows. Les attaquants, eux, n'ont pas attendu que les RSSI mettent à jour leurs référentiels de risque.

Le paysage des menaces macOS en 2026 : ce que les équipes IT ne voient pas

CVE-2026-65400 est le cas le plus spectaculaire de l'année, mais c'est loin d'être isolé. Voici un état réaliste des menaces macOS actives en 2026 que j'observe ou documente dans mes missions :

Les info-stealers macOS ont explosé depuis 2023. Atomic Stealer (AMOS), apparu fin 2023, a engendré une famille entière de clones et de variantes en 2025-2026. Ces outils volent les keychains macOS (mots de passe, certificats, tokens d'API), les cookies de session des navigateurs (Chrome, Safari, Firefox), les wallets de cryptomonnaies, et les fichiers de configuration des outils de développement (clés SSH, .env, .npmrc, fichiers .aws/credentials). Distribués principalement via faux logiciels sur des sites pirates ou via malvertising Google/Bing, ils ciblent précisément les profils développeurs et finance — les utilisateurs macOS les plus représentés en entreprise et les plus intéressants à compromettre.

Selon le rapport Malwarebytes 2026 sur les menaces macOS, le nombre de détections d'info-stealers macOS en environnement professionnel a augmenté de 74 % entre 2024 et 2025. Ce n'est pas un pic — c'est une tendance structurelle liée à la maturation des marchés cybercriminels ciblant macOS.

XCSSET, le malware qui infeste les projets Xcode, continue d'évoluer. En 2026, des variantes documentées par Kaspersky et Bitdefender disposent de capacités de vol de session browser, de capture d'écran périodique et silencieuse, et d'injection de code dans les applications installées. Pour les équipes de développement iOS/macOS, ce vecteur est particulièrement insidieux : un repository compromis sur GitHub ou un package npm malveillant peut introduire XCSSET dans un projet qu'un développeur compile en toute bonne foi sur son Mac de production.

Les campagnes Lazarus ciblant macOS sont documentées depuis 2023 et continuent en 2026. Operation Dream Job — que nous couvrons par ailleurs dans notre article sur CVE-2026-68820 — possède un pendant macOS : les fausses offres d'emploi envoient parfois des "tests techniques" sous forme d'applications macOS signées avec des certificats Developer ID volés ou de courte durée, contournant Gatekeeper. Une fois exécutée, l'application installe un backdoor Python ou Go maintenant une connexion C2 persistante et furtive.

Les adwares et spywares commerciaux constituent une menace souvent négligée mais réelle dans les PME. Des outils comme Adload ou Silver Sparrow, distribués via faux installeurs Adobe Flash ou codec vidéo, persistent via des LaunchAgents et collectent des données utilisateur. Ils font rarement partie des périmètres de détection des EDR macOS — quand EDR macOS il y a, ce qui est rarement le cas dans les structures de moins de 200 salariés.

Les erreurs de configuration MDM qui transforment un Mac en cible facile

Dans mes missions d'audit, je retrouve régulièrement les mêmes erreurs de configuration MDM macOS qui créent des surfaces d'attaque évitables. Ces erreurs sont souvent le produit de la même croyance de fond : "c'est un Mac, ça ne se hacke pas, on n'a pas besoin d'être aussi rigoureux qu'avec Windows."

Screen Sharing activé sans restriction réseau. CVE-2026-65400 a transformé cette erreur de configuration banale en incident critique. Dans de nombreuses entreprises, Screen Sharing est activé sur tous les Mac via profil MDM pour permettre le support IT à distance. Sans règle réseau limitant l'accès au port 5900 au réseau interne ou au VPN, ces Mac sont exploitables depuis Internet dès qu'une vulnérabilité comme CVE-2026-65400 est publiée. J'ai audité des entreprises de 200 salariés avec 180 Mac exposant le port 5900 sur leur IP publique dynamique — les télétravailleurs qui ne passent pas par VPN pour leur session de support screen sharing.

Absence de politique de mise à jour forcée. macOS permet aux utilisateurs de reporter les mises à jour, et beaucoup le font — les redémarrages sont perçus comme des interruptions de productivité. Sans politique MDM de mise à jour forcée avec un délai maximum (7 à 14 jours), une fraction significative du parc tourne systématiquement sur des versions obsolètes. Sur CVE-2026-65400, j'ai constaté qu'environ 30 % des Mac dans les entreprises sans politique de patch forcée n'avaient pas appliqué le correctif 10 jours après sa publication — exactement la fenêtre d'exploitation documentée par le NCSC-NL.

SIP désactivé pour des raisons de commodité. System Integrity Protection est la couche de défense en profondeur la plus efficace de macOS. Elle empêche la modification des fichiers système, des agents de lancement Apple, et les injections de code dans les processus système protégés. Certains outils de déploiement ou applications legacy requièrent la désactivation de SIP. J'ai audité des environnements où SIP était désactivé sur l'ensemble du parc pour satisfaire un prestataire de logiciel métier. C'est une erreur de sécurité majeure qui doit être refusée catégoriquement — si un logiciel requiert SIP désactivé en 2026, c'est un signal d'alarme sur la qualité sécurité de ce logiciel, pas une contrainte légitime à accepter.

Pas de MDM du tout, ou MDM limité au WiFi/VPN. Les PME de 20 à 100 salariés utilisent fréquemment macOS sans MDM, ou avec un MDM configuré uniquement pour la connectivité sans politique de sécurité. Ces environnements n'ont pas de visibilité sur les versions OS déployées, les applications installées, l'état de FileVault, ou les politiques de mot de passe. Ils ne peuvent pas déployer un patch d'urgence en 4 heures comme CVE-2026-65400 l'aurait nécessité.

Absence d'EDR macOS. Beaucoup d'entreprises déploient un EDR sur Windows mais négligent macOS. La plupart des EDR modernes ont des agents macOS fonctionnels : CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Jamf Protect. L'absence d'EDR macOS signifie qu'un info-stealer comme AMOS peut exfiltrer les keychains d'un développeur pendant des semaines sans déclencher d'alerte. Dans un environnement hybride Windows/macOS, les Mac non-supervisés par EDR constituent le chemin de moindre résistance pour un attaquant qui observe le réseau.

La dimension RH : pourquoi les Mac des dirigeants sont les cibles les plus intéressantes

Il y a un paradoxe récurrent en entreprise : les Mac sont souvent les machines des profils les plus privilégiés — direction générale, finance, R&D, équipes de développement — et les moins bien supervisés par les équipes sécurité. La perception d'immunité macOS conduit les équipes IT à concentrer leur budget EDR et leurs cycles de patch management sur les postes Windows, laissant les Mac avec une surveillance minimale.

Or, le Mac du DAF contient typiquement : des sessions actives sur les applications bancaires et de paiement, des emails avec des données financières non publiques, des documents stratégiques M&A ou budgétaires, des accès aux outils de signature électronique, et des tokens d'authentification SSO vers les applications critiques. Si un attaquant compromet ce Mac via un info-stealer ou une faille comme CVE-2026-65400, il n'a pas besoin d'une escalade de privilèges complexe — il a directement accès aux actifs les plus sensibles de l'entreprise.

Dans le contexte d'Operation Dream Job de Lazarus, ce sont précisément ces profils qui sont ciblés. Un "recruteur" LinkedIn proposant un poste attractif à un directeur financier ou un développeur blockchain utilisant macOS sans EDR est une combinaison que les équipes nord-coréennes exploitent activement. Le Mac lui-même est souvent la porte d'entrée la plus facile vers les actifs les plus critiques.

Ce que doit faire votre RSSI dès cette semaine

La sécurité macOS en entreprise n'est pas une mission impossible. Elle requiert les mêmes fondamentaux que pour Windows — MDM, patch management rigoureux, EDR, segmentation réseau — avec quelques spécificités de plateforme à connaître. Voici un plan d'action priorisé basé sur ce que j'implémenterais en premier dans un audit de remédiation :

Cette semaine (urgences) : Appliquer macOS Tahoe 26.6.1 / Sequoia 15.7.9 / Sonoma 14.8.9 sur l'ensemble du parc. Auditer via MDM quels Mac ont Screen Sharing activé et restreindre immédiatement l'accès réseau au port 5900 au segment interne. Identifier les Mac sans MDM et lancer leur intégration en priorité. Vérifier l'état de SIP sur l'ensemble du parc (csrutil status déployable via script MDM).

30 jours : Déployer un EDR avec agent macOS sur l'ensemble du parc — pas seulement sur Windows. Mettre en place une politique de mise à jour forcée avec délai maximum de 14 jours et escalade de rappels. Former l'équipe IT aux spécificités des incidents macOS : localisation des LaunchAgents malveillants (/Library/LaunchAgents, ~/Library/LaunchAgents), analyse des logs via Console.app, IoC types pour les info-stealers courants.

90 jours : Intégrer les Mac dans le programme de vulnerability management avec les mêmes SLA que Windows. Déployer des politiques Gatekeeper strictes via MDM : notarisation Apple requise, blocage des applications non managées. Configurer des alertes SIEM sur les événements macOS critiques : nouveaux LaunchAgents, connexions réseau sortantes inhabituelles, accès aux keychains système, désactivation des mécanismes de sécurité. Documenter et tester la procédure de réponse à incident macOS — elle doit être aussi mature que la procédure Windows.

Mon avis d'expert

En dix ans d'audits, j'ai vu CVE-2026-65400 arriver. Pas cette CVE spécifique, mais un incident de cette nature était inévitable. Chaque trimestre, des RSSI me montrent fièrement leur posture de sécurité Windows — EDR, SIEM, patch management automatisé — avant que j'identifie leurs Mac de direction exposant Screen Sharing sur Internet avec des versions macOS de six mois. Le mythe de l'immunité macOS coûte des incidents réels à des entreprises qui pensaient avoir bien fait leur travail. La seule sortie correcte, c'est de traiter macOS exactement comme Windows : même rigueur, même outillage, mêmes SLA. Pas de traitement de faveur pour une pomme.

Conclusion : la sécurité n'a pas de système d'exploitation préféré

CVE-2026-65400 n'est pas une anomalie. C'est un signal que le paysage des menaces macOS a atteint une maturité qui ne permet plus de supposer une protection par obscurité ou par rareté relative des attaques. Les groupes cybercriminels et les APT d'État ont clairement investi dans la recherche offensive macOS — et les résultats sont là, documentés, avec 18 400 machines exposées et des miners Monero silencieusement déployés pendant des semaines.

Les mécanismes de défense macOS sont efficaces quand ils sont correctement déployés et maintenus. SIP, Gatekeeper, MDM, EDR natif — la boîte à outils existe. Le problème n'est pas la plateforme : c'est l'écart entre la perception de sécurité héritée de vingt ans de marketing et la réalité des configurations observées en production. Combler cet écart, c'est le travail de la semaine pour tout RSSI ayant plus de dix Mac dans son périmètre.

Besoin d'un regard expert sur votre sécurité macOS ?

Discutons de votre contexte spécifique — audit MDM macOS, déploiement EDR, ou revue complète de votre posture de sécurité poste de travail.

Prendre contact