--- id: CP-139 slug: pegasus-nso-forcedentry-iphone lang: fr title: Pegasus et FORCEDENTRY sur iPhone description: "Ce que les sources disent de Pegasus sur iPhone : failles exploitées, correctifs Apple de septembre 2021 et réflexes simples pour un salarié." canonical_url: https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Pegasus et FORCEDENTRY sur iPhone », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/ (CC BY 4.0) wing: 2 theme: understand_hacking reflex: cr-012 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/ en: https://startbrain.io/cyberpedia/en/articles/pegasus-nso-forcedentry-iphone/ de: https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/ es: https://startbrain.io/cyberpedia/es/articles/pegasus-nso-forcedentry-iphone/ sources: - "n": 1 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 2 title: Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1456/ accessed: "2026-11-03" - "n": 3 title: Multiples vulnérabilités dans les produits Apple - CERT-FR publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ published: "2021-09-14" accessed: "2026-11-03" - "n": 4 title: Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1476/ accessed: "2026-11-03" - "n": 5 title: Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1428/ accessed: "2026-11-03" - "n": 6 title: Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1474/ accessed: "2026-11-03" --- # Pegasus et FORCEDENTRY sur iPhone Pegasus figure dans le référentiel MITRE ATT&CK sous la forme « Pegasus for iOS », un logiciel qui exploite des vulnérabilités d'iOS pour élever ses privilèges [1]. Pour un salarié, la conséquence est simple : un téléphone à jour est un téléphone plus difficile à compromettre. Cette fiche s'en tient à ce que les sources citées ici établissent. Elles décrivent la logique générale des attaques par faille sur mobile, une diffusion de Pegasus pour iOS par un site web et un lot de correctifs Apple de septembre 2021. Elles ne contiennent ni l'analyse technique de FORCEDENTRY, ni le détail d'une infection sans clic par message, ni les enquêtes de 2021 sur les cibles de Pegasus. Ces points ne sont donc pas traités ici. ## En 30 secondes - Où ça arrive : sur iPhone et Android, par des failles du système ou du navigateur [1][2]. - Ce que veut l'attaquant : exécuter son propre code sur l'appareil, puis passer d'un accès limité à des droits étendus [1]. - Le réflexe : installer sans attendre les mises à jour, car elles contiennent souvent des correctifs de failles [1]. - Si c'est déjà fait : prévenir le service sécurité de l'entreprise sans attendre, et ne pas essayer de nettoyer le téléphone soi-même. ## Questions directes ### Qu'est-ce que Pegasus pour iOS ? Dans MITRE ATT&CK, « Pegasus for iOS » est un logiciel qui exploite des vulnérabilités d'iOS pour élever ses privilèges [1]. Une version pour Android existe aussi : elle tente d'exploiter des failles connues d'Android pour la même raison [1]. ### Faut-il cliquer pour être infecté ? Les sources citées ici ne le disent pas pour Pegasus. Elles décrivent un cas où la victime visite un site : Pegasus pour iOS a été diffusé par un site web, en exploitant des failles du navigateur Safari [2]. Elles notent que, dans ce type d'attaque, l'utilisateur doit parfois aider le processus, en activant des scripts ou en ignorant des boîtes de dialogue d'avertissement [2]. ### Qu'est-ce que CVE-2021-30860 ? C'est une référence de faille citée par le CERT-FR dans son avis du 14 septembre 2021 sur les produits Apple, avec CVE-2021-30858 [3]. L'avis range ces vulnérabilités dans le risque « Exécution de code arbitraire à distance » [3]. Le texte du CERT-FR ne relie pas cette référence à Pegasus. ### Quels appareils l'avis du CERT-FR concerne-t-il ? Sont affectés les iOS et iPadOS antérieurs à la version 14.8, macOS Big Sur antérieur à 11.6, Safari antérieur à 14.1.2, watchOS antérieur à 7.6.2 et Catalina antérieur à 2021-005 [3]. ### Comment se protéger ? Le MITRE indique que les mises à jour de sécurité contiennent souvent des correctifs de vulnérabilités [1]. Pour les attaques par site web, il écrit qu'elles contiennent fréquemment des correctifs d'exploits connus [2]. ## Dans la peau de l'attaquant Un attaquant qui vise un téléphone commence avec peu de droits. Le MITRE décrit ce point de départ : l'attaquant s'exécute d'abord dans un processus peu privilégié, qui l'empêche d'accéder à certaines ressources [1]. Des failles existent, le plus souvent dans des composants du système et des applications qui tournent avec des droits élevés, et permettent de passer d'un niveau utilisateur aux droits root [1]. Les mécanismes de sécurité comme les niveaux de permission gênent l'accès aux données. Pour les contourner, l'attaquant devra probablement exploiter une faille logicielle [1]. C'est le rôle que le MITRE attribue à Pegasus pour iOS [1]. Quand la cible est visée en tant que membre d'une communauté, l'attaquant peut choisir un site que cette communauté visite : administration, secteur d'activité ou région. Le MITRE appelle cela une compromission stratégique de site web, ou attaque du point d'eau [2]. ## Ce que vous voyez à l'écran Dans le scénario décrit par le MITRE pour une attaque par site web, des scripts s'exécutent automatiquement et cherchent la version du navigateur et de ses extensions [2]. Si une version vulnérable est trouvée, le code d'exploitation est envoyé au navigateur. Si l'exploitation réussit, l'attaquant obtient l'exécution de code sur l'appareil, sauf si d'autres protections sont en place [2]. Dans certains cas, une seconde visite du site est nécessaire avant l'envoi du code [2]. Les sources citées ici ne décrivent pas ce que l'écran d'un iPhone infecté montre ou ne montre pas. Elles ne permettent donc pas d'affirmer qu'aucun signe n'apparaît. Autre voie possible, qui concerne d'autres logiciels malveillants : un lien vers une application, envoyé par courriel, par SMS, par iMessage ou WhatsApp, ou encore par un code QR [4]. Le MITRE note que cette technique ne se contourne pas facilement avec des contrôles préventifs, car elle détourne des fonctions normales du système [4]. ## Sous le capot Le mécanisme se fait en deux temps. D'abord un accès initial, par exemple par le navigateur [2]. Ensuite une élévation de privilèges, par une faille du système ou d'un composant qui tourne avec des droits élevés [1]. Le MITRE cite plusieurs logiciels apparentés sur iOS. INSOMNIA exploite une faille de WebKit pour obtenir un accès root [1]. Lors de l'opération Triangulation, les attaquants ont exploité une faille du noyau pour obtenir les droits root [1]. Un téléphone relié au réseau de l'entreprise, en connexion locale ou par VPN, peut aussi servir de point d'entrée. L'attaquant exploite alors des services distants pour atteindre d'autres systèmes internes [5]. Parmi les mesures citées, la configuration d'un VPN par application plutôt que sur tout l'appareil limite l'accès aux ressources internes aux seules applications approuvées [5]. Le téléphone peut aussi être touché avant d'arriver chez l'utilisateur. Le MITRE décrit la compromission de la chaîne d'approvisionnement, qui regroupe les dépendances logicielles, les outils de développement et le matériel [6]. Les mises à jour de sécurité peuvent contenir des correctifs pour les appareils compromis à ce niveau [6]. Côté défense, l'attestation d'appareil peut souvent détecter un téléphone débridé (jailbreak) ou rooté, et des produits de sécurité mobile le peuvent aussi [1]. ## Autopsies ### 13 et 14 septembre 2021 : les correctifs Apple relevés par le CERT-FR Le 13 septembre 2021, Apple publie cinq bulletins de sécurité, de HT212804 à HT212808 [3]. Le lendemain, le CERT-FR en tire un avis intitulé « Multiples vulnérabilités dans les produits Apple » [3]. Il indique que ces failles permettent à un attaquant de provoquer une exécution de code arbitraire à distance [3]. La solution proposée est de se référer aux bulletins de l'éditeur pour obtenir les correctifs [3]. Les deux références CVE citées sont CVE-2021-30858 et CVE-2021-30860 [3]. Pour un salarié, la leçon pratique est celle de l'avis : les versions antérieures à iOS 14.8 et iPadOS 14.8 étaient affectées, et la mise à jour était la réponse [3]. ### Pegasus pour iOS : une diffusion par site web Le MITRE rapporte que Pegasus pour iOS a été diffusé par un site web, au moyen de failles du navigateur Safari sur iOS [2]. Les sources citées ici ne donnent pas de date pour ce cas. ## Sources 1. MITRE ATT&CK, « Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1404/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1456/ (consulté le 3 novembre 2026) 3. CERT-FR (ANSSI), « Multiples vulnérabilités dans les produits Apple - CERT-FR », 14 septembre 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1476/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1428/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1474/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.