D'autres applications Mac pouvaient voir vos onglets Safari partagés
Jusqu'à la fin juillet, n'importe quelle application de votre Mac pouvait suivre en temps réel vos groupes d'onglets Safari partagés : sans demande d'autorisation, sans avertissement du système, sans trace dans les réglages de confidentialité. Apple a corrigé la faille le 27 juillet dans Safari 26.6 et macOS Tahoe 26.6, et Positive Technologies l'a décrite publiquement le 17 août. Une petite histoire avec une leçon utile, et deux minutes de votre soirée suffisent pour vérifier que le correctif est déjà en place.
Ce qu'est un groupe d'onglets partagé
Un groupe d'onglets est un ensemble d'onglets portant un nom, et Safari permet de le partager avec d'autres personnes. Tout le monde voit la même liste, et elle se met à jour en direct : vous ouvrez une page dans ce groupe et elle apparaît quelques secondes plus tard sur l'écran de l'autre. La fonction est réellement pratique pour préparer un voyage, comparer des prix à deux ou trier des liens avec un collègue, et c'est précisément pour cela que le contenu de ces groupes est souvent personnel.
C'est cette synchronisation en direct qui fuyait. La vulnérabilité, référencée CVE-2026-43792 avec un score de 6,5, se trouvait dans le mécanisme d'autorisation de Safari : une application installée sur le même Mac pouvait s'abonner aux changements des groupes d'onglets partagés et les regarder arriver, sans que le système vous demande une seule fois si cette application avait le droit de toucher aux données de Safari.
Ce qu'une autre application pouvait voir, et ce qu'elle ne voyait pas
Le périmètre compte, et il est plus étroit que ne le laisse penser le titre. Ce qui sortait, c'était le flux des changements dans les groupes d'onglets partagés, autrement dit les adresses qui apparaissent dans les groupes que vous partagez avec quelqu'un. Votre historique complet, vos mots de passe enregistrés, les données de formulaires et les fenêtres privées n'en faisaient pas partie. Apple décrit l'impact avec sa formule habituelle : une application pouvait accéder à des données utilisateur sensibles, corrigé par une meilleure gestion d'état.
Ce qui rend l'affaire intéressante, c'est la question qui n'a pas été posée. Sous macOS, on vous a habitué à attendre une boîte de dialogue : une application veut vos fichiers, votre caméra, votre écran, vos contacts. Cette demande, c'est toute la promesse du modèle d'autorisations. Ici il n'y en avait pas, parce que la vérification qui aurait dû la déclencher n'était pas faite. Un programme installé pour tout autre chose pouvait rester tranquillement à lire ce que vous et une autre personne ouvriez.
La seconde faille : les identifiants liés à votre compte Apple
Le même chercheur, cité par Apple sous le nom Ilya Andr (andrd3v) et présenté dans l'entrée Game Center comme travaillant chez Positive Technologies, a signalé un second problème dans la même série de juillet. Référencée CVE-2026-43796 avec un score de 5,5, elle permettait à une application d'obtenir des identifiants associés à votre compte Apple. Dit comme cela, c'est abstrait, mais c'est la matière première du pistage entre applications : deux logiciels d'éditeurs différents peuvent recouper leurs données et conclure qu'ils ont affaire à la même personne, ce que les règles d'Apple sur le suivi sont censées empêcher. Celle-là a été corrigée d'un coup sur toute la gamme, dont iOS et iPadOS 26.6, macOS Sequoia 15.7.8 et macOS Sonoma 14.8.8.
Vérifiez en deux minutes
- Ouvrez le menu Pomme, Réglages Système, Général, Mise à jour de logiciels. Sur Tahoe, il vous faut 26.6 ou plus récent, 26.6.1 convient aussi. Si la mise à jour attend déjà, voilà une bonne raison de l'installer maintenant plutôt que le week-end.
- Si vous êtes resté sur Sonoma ou Sequoia, le correctif arrive séparément sous la forme de Safari 26.6. Ouvrez Safari, le menu Safari, puis "À propos de Safari" et comparez le numéro. S'il est inférieur, la mise à jour se trouve au même endroit.
- Sur iPhone et iPad : Réglages, Général, Mise à jour logicielle, la version 26.6 ou plus récente couvre l'affaire des identifiants de compte.
- Tant que vous êtes dans Safari, ouvrez la barre latérale et regardez vos groupes d'onglets. Les groupes partagés portent une icône de participants. Cliquez dessus et lisez la liste : les groupes partagés survivent souvent au voyage ou au projet pour lequel ils avaient été créés.
- Retirez ceux qui n'ont plus à y être, ou arrêtez complètement le partage. Tout ce que vous ouvrez dans un groupe partagé est visible par tous les participants, c'est la fonction telle qu'elle a été conçue, et c'est ce qu'on oublie.
Ce que cela ne veut pas dire. Personne ne lisait vos onglets bancaires : les fenêtres privées et la navigation ordinaire n'étaient pas concernées. Aucun élément public n'indique que la faille ait été utilisée contre qui que ce soit avant sa correction. Et ni un VPN ni la navigation privée n'y auraient changé quoi que ce soit, puisque les données étaient prises localement, sur le Mac, et non dans votre connexion.
Pourquoi une petite faille mérite quand même votre soirée
La même mise à jour de macOS a fermé 153 vulnérabilités d'un coup. La plupart ne vous toucheront jamais, quelques-unes expliquent précisément pourquoi une mise à jour ne devrait pas dormir un mois. Une vérification d'autorisation manquante n'est pas un drame en soi, mais c'est exactement l'écart qui sépare un système qui demande avant qu'une application touche à vos données d'un système qui en a seulement l'air.
La version pratique tient en une phrase : gardez la machine sur une version prise en charge, installez les mises à jour de sécurité quand elles sortent et non quand cela vous arrange, et regardez de temps en temps qui se trouve encore à l'intérieur de ce que vous avez partagé.
