La quête de failles a encore de beaux jours devant elle. Et même si le risque dâexploitation dans la nature reste limité, lâeffort mérite dâêtre salué.
Câest le cas de lâétude publiée le 25 juin 2026 par le CISPA Helmholtz Center for Information Security, en Allemagne, qui propose une analyse comparative dâAirDrop et de Quick Share au niveau applicatif, un angle encore peu exploré, les recherches se concentrant généralement sur la couche radio.
Au cÅur des travaux menés par les chercheurs : AirFuzz, un outil développé pour tester automatiquement des milliers de variantes de messages envoyés à un appareil cible. Sa particularité réside dans lâaltération des données en amont de leur compression, ce qui permet de contourner les mécanismes de validation côté réception et dâaugmenter les probabilités de déclencher des plantages.
Résultat, trois vulnérabilités affectent AirDrop sur macOS et iOS, deux concernent lâimplémentation Quick Share de Samsung, et une dernière, la plus critique, touche lâapplication Windows de Google.
Point commun à lâensemble : ces failles sont exploitables sans appairage préalable, dès lors que lâappareil est configuré pour accepter des connexions provenant de nâimporte qui.
Des plantages liés à des contournements de chiffrement
Côté Apple, les trois bugs font planter le démon système sharingd, le programme qui fait notamment fonctionner AirDrop en arrière-plan. La méthode la plus simple consiste à envoyer en boucle, toutes les deux secondes, une requête vers une adresse que le programme ne reconnaît pas, ce qui suffit à le faire crasher à chaque fois. Une autre attaque exploite l’absence de limite dans la façon dont Apple lit certains fichiers de configuration : un petit fichier piégé, contenant environ 200 niveaux de données imbriquées, fait planter n’importe quelle application capable d’ouvrir ce type de fichier.
Du côté de Quick Share, les chercheurs ont identifié deux failles dans la gestion des sessions chez Samsung. La première permet à un attaquant d’échanger avec l’appareil ciblé avant même que la procédure d’authentification ne soit terminée. La seconde fait que certains messages échappent au chiffrement censé protéger l’ensemble de la session, ce qui permet à quelqu’un sur le même réseau Wi-Fi de les intercepter ou de les falsifier.
La faille la plus préoccupante touche toutefois l’application Windows de Google : un bug de type use-after-free, où le programme continue d’utiliser une zone mémoire qu’il a pourtant déjà libérée.
Ce type de défaut peut, dans certains cas, être détourné pour exécuter du code malveillant à distance. Les chercheurs n’ont confirmé qu’un plantage, sans aller jusqu’à démontrer une prise de contrôle complète, mais ils soulignent qu’une protection censée justement empêcher ce genre de détournement est désactivée dans l’application.
Des correctifs en cours, un risque qui reste local
Apple a reconnu les trois failles et a déjà attribué un identifiant CVE à l’une d’elles, même si l’avis correspondant n’est pas encore public. Samsung a transféré ses deux cas à Google, qui les examine toujours. Google, de son côté, a confirmé et corrigé le bug Windows, récompensé par une prime, en attendant l’attribution d’un CVE.
Ces attaques restent limitées à une portée de 10 à 30 mètres environ, ou au même réseau local : pas de risque à l’échelle d’Internet, donc, mais un danger potentiel dans un aéroport ou une salle de conférence bondée.
En pratique, les chercheurs recommandent de mettre à jour ses appareils (iOS et macOS 26.5.2), de limiter la réception AirDrop aux contacts plutôt qu’à « Tout le monde », et de ne garder Quick Share visible que lorsqu’un transfert est en cours.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'Åil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Anticipez le futur en vous inscrivant gratuitement à ToujoursPlus, la newsletter tech de référence.