Binance a averti les utilisateurs d'iPhone le 10 novembre au sujet de « worse_query », une faille iOS d'accès aux fichiers entre applications qui, selon son alerte, pourrait exposer les phrases de récupération de cryptomonnaies, les clés privées et les identifiants de connexion. L'alerte, publiée sur le compte X officiel de la plateforme d'échange, est intervenue un jour après que Apple a déployé iOS 27.2.1 et 26.7.3, deux mises à jour de sécurité dont les avis publiés documentent les vulnérabilités corrigées mais ne mentionnent nulle part explicitement la technique signalée.

Cette omission ne permet pas d'établir si les dernières mises à jour d'Apple empêchent la technique. L'alerte de Binance identifiait iOS 26.7.1, 27.0.1 et 27.2 parmi les versions concernées et citait les phrases de récupération, les clés privées et les identifiants de connexion comme données potentiellement exposées.

Coin Bureau, un média spécialisé dans les cryptomonnaies, a relayé l'alerte dans une publication du 10 novembre sur X :

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Des chercheurs documentent une évasion de sandbox entre applications

Le chercheur forcequitOS a publié worse_query le 8 novembre, le décrivant dans un dépôt GitHub public comme une évasion de sandbox applicatif. Le sandbox d'Apple restreint normalement l'accès des applications au stockage privé d'une autre application, une frontière qui sous-tend la séparation entre les applications sur son système d'exploitation mobile.

Le dépôt répertorie les répertoires d'applications, d'extensions et de conteneurs partagés accessibles sur iOS 26 et 27. La démonstration nécessite une autorisation App Group, une condition préalable souvent absente des avertissements généralisés. Les autorisations App Group sont généralement accordées à des groupes d'applications destinés à partager des données entre eux, et la documentation du chercheur signale cette exigence comme centrale dans la technique démontrée.

Point crucial : le chercheur présente ce travail comme une preuve de concept pour développeurs, et non comme un jailbreak. Cette divulgation établit un chemin d'accès possible, non un vol avéré ni un accès universel aux secrets des wallets. L'exposition effective dépend en partie de l'endroit où les applications stockent leurs données et de la manière dont elles les protègent. Un stockage chiffré et des clés protégées séparément ne sont pas équivalents à des phrases de récupération lisibles.

Contrairement à une invite de phishing, l'accès aux fichiers entre applications peut se produire sans demande directe d'une phrase de récupération. Cependant, l'accès à un fichier ne déchiffre pas automatiquement des données correctement protégées.

Les mises à jour d'Apple laissent le statut du correctif incertain

Apple a déployé iOS 27.2.1 et 26.7.3 le 9 novembre, après la divulgation signalée. Ses notes de sécurité pour ces versions (premier avis, second avis) traitent de plusieurs problèmes, dont un accès non autorisé aux données via App Intents dans iOS 27.2.1. Aucun des deux avis n'identifie worse_query ni ne mentionne forcequitOS, et aucun mappage CVE public confirmé ne relie le correctif App Intents à l'évasion de sandbox démontrée. Les identifiants CVE sont les entrées du catalogue public par lesquelles les vulnérabilités logicielles divulguées sont documentées et associées aux correctifs spécifiques des éditeurs.

Comme les avis énumèrent leurs correctifs sans référencer la preuve de concept, les utilisateurs d'iPhone ne peuvent pas déterminer, à partir de la seule documentation d'Apple, si les mises à jour neutralisent worse_query. La mise à jour reste prudente quoi qu'il en soit, mais qualifier la faille de corrigée irait au-delà des preuves disponibles. La résolution la plus claire serait un avis ultérieur d'Apple mentionnant explicitement worse_query ou forcequitOS, ou une entrée CVE publique reliant le correctif App Intents à l'évasion de sandbox documentée dans le dépôt ; en l'absence d'une telle documentation, le dépôt GitHub du chercheur et l'alerte de Binance demeurent les références publiquement documentées pour cette technique.

Le stockage des wallets et les précautions des utilisateurs au centre de l'attention

Binance a conseillé aux utilisateurs de supprimer les applications non fiables, en particulier les fichiers IPA signés manuellement ou installés hors boutique, et de ne mettre à jour iOS et les applications installées que via les canaux officiels. Pour les détenteurs de cryptomonnaies, les phrases de récupération et les clés privées comptent parmi les secrets les plus sensibles qu'un appareil mobile puisse contenir, car la possession de ces chaînes équivaut généralement au contrôle des fonds associés.

Les utilisateurs qui suspectent une exposition devraient générer un nouveau wallet sur un appareil sain et y transférer leurs actifs. Ils devraient également réinitialiser les sessions de connexion concernées, puisque la réinstallation d'une application ne permet pas de révoquer des identifiants déjà copiés.

Ces mesures répondent à une fuite potentielle d'identifiants, non à des pertes confirmées attribuées à cette faille particulière. CoinCentral avait précédemment couvert des vulnérabilités matérielles distinctes touchant les iPhones plus anciens ; celles-ci impliquent des attaques nécessitant un accès physique, tandis que worse_query concerne l'isolation des fichiers entre applications.

Source : CoinCentral