worse_query permet aux apps iOS de lire les fichiers d'autres apps, sans correctif Apple annoncé

Une faille zero-day dans l'isolation des conteneurs iOS

Une vulnérabilité zero-day d'iOS nommée worse_query permet à des apps malveillantes de lire des fichiers appartenant à d'autres apps. Le chercheur en sécurité forcequitOS a publié une preuve de concept fonctionnelle sur GitHub le 8 novembre 2026. La faille est présentée comme la successeure d'un exploit antérieur, bad_query.

iOS place normalement chaque app dans un bac à sable isolé. Worse_query exploite une interface de requête du gestionnaire de conteneurs via des liens symboliques dans un conteneur de groupe d'apps. Une app malveillante peut ainsi lire, modifier ou supprimer les bases de données, documents, caches et fichiers de configuration d'autres apps sans jailbreak ni exploit du noyau, selon l'analyse de la société de sécurité Ostorlab.

Avertissement de Binance, correctif limité

Binance a publié un avertissement sur X le 10 novembre 2026. La plateforme indique que le problème touche iOS au niveau du système, y compris les versions 26.7.1, 27.0.1 et 27.2. Elle ajoute : « This is an iOS-level issue, not unique to Binance. » L'exchange a demandé aux utilisateurs de supprimer les apps installées depuis des sources non fiables et de mettre iOS à jour vers la dernière version officielle.

Apple a publié iOS 27.2.1 et iOS 26.7.3 le 9 novembre 2026. Ses notes de sécurité ne mentionnent aucun correctif pour les évasions de bac à sable et n'attribuent aucun identifiant CVE à worse_query. Ostorlab indique que la brèche reste ouverte, sans correctif confirmé du fabricant. Faute de CVE attribuée, la faille ne figurait pas au catalogue des vulnérabilités exploitées connues de la CISA au 10 novembre 2026.

Le risque pour les portefeuilles est conditionnel

Selon le responsable de la sécurité de l'information de SlowMist, connu sous le nom de 23pds, la faille ne vole pas de fonds à elle seule. Un vol exigerait deux conditions simultanées : l'utilisateur installe et exécute une app malveillante hors de l'App Store, et le portefeuille concerné stocke les phrases de récupération, les fichiers keystore ou les caches WebView en clair dans un dossier accessible localement.

Des outils dérivés de l'exploit, diffusés publiquement sous le nom de WQ Files, peuvent déjà lire, modifier et supprimer des fichiers tiers. Aucun vol de cryptomonnaies confirmé via worse_query n'avait été signalé à la date du rapport. SlowMist a déconseillé l'installation d'IPA hors App Store, recommandé de maintenir iOS à jour, de ne stocker les données sensibles que sous forme chiffrée et de transférer les actifs vers un nouveau portefeuille créé sur un appareil propre si une app non fiable a été installée.

Apple n'avait publié ni avis ni version corrigée pour worse_query, selon Ostorlab. L'exploit reste actif, avec du code public disponible.