CVE-2026-65400 : Apple corrige bypass Screen Sharing ciblé

Les faits

Le 20 août 2026, la CISA a ajouté CVE-2026-65400 à son catalogue Known Exploited Vulnerabilities (KEV), confirmant une exploitation active dans la nature. La vulnérabilité, notée CVSS 8.8, réside dans le mécanisme d'authentification du service Screen Sharing natif de macOS. Un attaquant positionné sur le même segment réseau — réseau local d'entreprise, Wi-Fi public ou VLAN partagé — peut s'authentifier sans fournir de credentials valides et obtenir un accès visuel et interactif complet au bureau de la victime.

Cette découverte s'inscrit dans un contexte alarmant : le 13 août 2026, Apple a adressé des notifications push à des utilisateurs dans au moins 28 pays, les informant d'un ciblage probable par un logiciel espion mercenaire. Le CERT-FR a immédiatement relayé l'alerte le 14 août 2026, appelant les organisations françaises dont des membres auraient reçu cette notification à le contacter sans délai. Une faille technique activement exploitée coïncide avec une campagne de surveillance ciblée à grande échelle.

Les attaques par spyware mercenaire ne visent pas le grand public. Elles ciblent des profils à haute valeur opérationnelle : journalistes d'investigation, défenseurs des droits humains, diplomates, avocats en affaires sensibles, dirigeants d'entreprises stratégiques. Apple fonde ses alertes sur des renseignements sur les menaces internes — des indicateurs de compromission identifiés dans sa télémétrie globale. En 2026, la liste des profils ciblés s'est élargie aux professionnels de la cybersécurité eux-mêmes : un RSSI auditant des OIV représente un pivot d'accès de premier ordre pour un attaquant étatique.

CVE-2026-65400 est classifiée CWE-287 (Improper Authentication). Le service Screen Sharing de macOS repose sur le protocole VNC et est activé dans certaines configurations d'entreprise pour la gestion à distance via MDM. La faille contourne intégralement la vérification des credentials — un attaquant réseau ouvre une session VNC sans mot de passe. L'exploitation ne nécessite ni privileges préalables ni interaction de la victime (AV:N, PR:N, UI:N).

L'exploitation de CVE-2026-65400 ouvre un vecteur de pivot redoutable. Une fois Screen Sharing compromis, l'attaquant dispose d'un accès bureau interactif : exfiltration de documents, capture de credentials affichés à l'écran, installation de malwares supplémentaires, déplacement latéral vers d'autres systèmes. En combinaison avec un spyware déjà implanté sur l'appareil, l'attaque atteint un niveau de sophistication maximal.

Les versions de macOS affectées couvrent Ventura (13.x), Sonoma (14.x) et Sequoia (15.x) antérieures aux correctifs de fin août 2026. Apple a intégré le patch dans ses mises à jour de sécurité habituelles. D'après des données télémétriées publiées par des chercheurs indépendants, les tentatives d'exploitation ont été détectées dès début août 2026, ciblant principalement des organisations gouvernementales et des rédactions de presse.

Côté France, le CERT-FR a émis une alerte le 14 août 2026 précisant que les notifications Apple constituent un signal d'alerte sérieux et non un artefact. L'ANSSI recommande de procéder à une investigation forensique complète du terminal concerné avant toute action corrective, afin de préserver les traces d'une éventuelle compromission. Des IoC liés aux spywares mercenaires connus circulent dans les plateformes de threat intelligence comme MISP et ThreatFox.

Ce n'est pas la première alerte de ce type — en 2021, Apple avait notifié des dizaines de milliers d'utilisateurs après la découverte de Pegasus. Depuis, le mécanisme de notification s'est professionnalisé. Une notification reçue ne confirme pas une compromission mais justifie une investigation forensique immédiate. L'ajout simultané de CVE-2026-65400 au KEV CISA confirme que la menace est réelle et que la fenêtre d'exploitation est active.

Impact et exposition

Les organisations les plus exposées sont celles ayant activé Screen Sharing pour la gestion à distance de postes macOS dans des environnements sans segmentation réseau stricte. Les profils individuellement ciblés — dirigeants, journalistes, avocats, professionnels de la cybersécurité — doivent considérer leur niveau de risque comme élevé. Les PME utilisant des Mac en réseau plat, sans pare-feu applicatif entre postes, sont directement vulnérables. Les environnements hybrides avec Macs en télétravail sur VPN split-tunnel sont également concernés si Screen Sharing est actif.

Recommandations

• Mettre à jour macOS vers la dernière version disponible — le patch CVE-2026-65400 est inclus dans les mises à jour de sécurité de fin août 2026.
• Désactiver Screen Sharing dans Réglages Système > Partage si non indispensable ; restreindre l'accès à des adresses IP spécifiques via le pare-feu macOS si le service est requis.
• Si une notification Apple de spyware a été reçue : isoler le terminal concerné, ne pas le réinitialiser (préserver les preuves forensiques) et contacter le CERT-FR.
• Auditer via MDM (Jamf, Mosyle, Kandji) l'état de Screen Sharing sur l'ensemble du parc macOS et identifier les postes non patchés.
• Activer le mode Isolement (Lockdown Mode) sur les appareils des profils à risque élevé.