FICHE CVE

CVE-2026-20677

Publiée le 2026-02-11 · Dernière modification le 2026-08-21

🇫🇷 EN BREF

Les appareils Apple utilisant iOS, iPadOS, macOS et visionOS sont touchés par une condition de concurrence (race condition) liée à la manière dont le système gère les liens symboliques. Un attaquant peut utiliser un raccourci spécialement conçu pour contourner les restrictions du bac à sable (sandbox), lui permettant potentiellement de prendre le contrôle total des données et des fonctions système de l'appareil. Bien que l'attaque puisse être lancée via un réseau sans nécessiter d'interaction ou d'authentification de l'utilisateur, elle est techniquement difficile à exécuter avec succès.

CVSS 3.19.0 CRITIQUE

Type de faiblesse

Situation de concurrence (race condition) · CWE-362 Situation de concurrence TOCTOU · CWE-367

Publiée2026-02-11

Dernière modification2026-08-21

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A race condition was addressed with improved handling of symbolic links. This issue is fixed in iOS 18.7.5 and iPadOS 18.7.5, iOS 26.3 and iPadOS 26.3, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4, macOS Tahoe 26.3, visionOS 26.3. A shortcut may be able to bypass sandbox restrictions.