Faille iPhone « worse_query » : pourquoi les applis de portefeuille sous iOS 26 et 27 pourraient être exposées
Sur iPhone, chaque appli vit normalement dans son propre espace cloisonné et ne peut pas voir ce que stockent les autres. Une faille récemment publiée, baptisée worse_query, contourne ce cloisonnement. Binance a averti le 10 novembre qu'elle pourrait exposer les phrases de récupération, les clés privées et les identifiants des applis de portefeuille. Selon la plateforme, il s'agit d'un problème d'iOS lui-même, pas seulement de Binance.
Ce qui s'est passé
Un chercheur connu sous le nom de forcequitOS a publié worse_query sur GitHub le 8 novembre. Il s'agit d'une évasion de sandbox : une appli qui l'utilise peut lire les dossiers de données des autres applis et, sous iOS 27, certains dossiers système. Binance cite iOS 26.7.1, 27.0.1 et 27.2 comme concernés ; selon les notes du chercheur, la plage est plus large et inclut iOS 26.0 à 26.7.2. La société de sécurité SlowMist souligne qu'il ne s'agit pas d'un jailbreak complet, mais que l'isolation entre applis est bien rompue.
Quelle gravité ?
À ce jour, ni Binance ni le chercheur n'ont signalé d'attaques ou de fonds volés, et aucune appli de portefeuille précise n'a été citée. Ce qu'un attaquant pourrait réellement lire dépend de la façon dont chaque portefeuille stocke ses secrets. Pour utiliser la technique, une appli a besoin d'une configuration particulière, que les outils de sideloading créent automatiquement. On ne sait pas encore si une appli de l'App Store officiel pourrait faire de même.
Apple a publié iOS 27.2.1 et iOS 26.7.3 le 9 novembre. Les notes de sécurité officielles ne mentionnent pas worse_query. Le responsable sécurité de SlowMist affirme qu'iOS 27.2.1 bloque la technique ; Apple ne l'a pas confirmé.
Que faire maintenant
- Mettez à jour : installez la dernière version d'iOS et mettez à jour toutes vos applis, en particulier les portefeuilles.
- Supprimez les applis non fiables : effacez les applis installées hors de l'App Store, par exemple via AltStore, SideStore ou des fichiers IPA signés manuellement.
- Le téléphone n'est qu'un porte-monnaie : ne gardez que de petites sommes dans les applis du téléphone. Les montants importants ont leur place sur un portefeuille matériel, dont les clés privées ne touchent jamais le téléphone.
- Ne stockez jamais votre phrase de récupération sur le téléphone : pas de captures d'écran, pas de notes, pas de photos dans la galerie.
- En cas de doute : créez un nouveau portefeuille sur un appareil sain, transférez-y vos fonds et déconnectez toutes les sessions actives.
Pourquoi c'est important
Beaucoup considèrent leur téléphone comme un coffre-fort. Ce cas montre que même un système bien protégé peut avoir des failles, et que des clés stockées sur un appareil qui fait tourner des dizaines d'autres applis présentent un risque supplémentaire. La règle de notre article sur les wrench attacks s'applique aussi ici : le téléphone, c'est pour la petite monnaie, pas pour l'épargne.
Sources
