Cyberpediapar Brain
FRDEEN

Pegasus et FORCEDENTRY sur iPhone

Ce que les sources disent de Pegasus sur iPhone : failles exploitées, correctifs Apple de septembre 2021 et réflexes simples pour un salarié.

En 30 secondes

Où ça arrive
Sur iPhone et Android, par des failles du système ou du navigateur12.
Ce que veut l'attaquant
Exécuter son propre code sur l'appareil, puis passer d'un accès limité à des droits étendus1.
Le réflexe
Installer sans attendre les mises à jour, car elles contiennent souvent des correctifs de failles1.
Si c'est déjà fait
Prévenir le service sécurité de l'entreprise sans attendre, et ne pas essayer de nettoyer le téléphone soi-même.

De quoi parle-t-on

Pegasus figure dans le référentiel MITRE ATT&CK sous la forme « Pegasus for iOS », un logiciel qui exploite des vulnérabilités d'iOS pour élever ses privilèges1. Pour un salarié, la conséquence est simple : un téléphone à jour est un téléphone plus difficile à compromettre.

Cette fiche s'en tient à ce que les sources citées ici établissent. Elles décrivent la logique générale des attaques par faille sur mobile, une diffusion de Pegasus pour iOS par un site web et un lot de correctifs Apple de septembre 2021. Elles ne contiennent ni l'analyse technique de FORCEDENTRY, ni le détail d'une infection sans clic par message, ni les enquêtes de 2021 sur les cibles de Pegasus. Ces points ne sont donc pas traités ici.

Questions directes

Qu'est-ce que Pegasus pour iOS ?

Dans MITRE ATT&CK, « Pegasus for iOS » est un logiciel qui exploite des vulnérabilités d'iOS pour élever ses privilèges1. Une version pour Android existe aussi : elle tente d'exploiter des failles connues d'Android pour la même raison1.

Faut-il cliquer pour être infecté ?

Les sources citées ici ne le disent pas pour Pegasus. Elles décrivent un cas où la victime visite un site : Pegasus pour iOS a été diffusé par un site web, en exploitant des failles du navigateur Safari2. Elles notent que, dans ce type d'attaque, l'utilisateur doit parfois aider le processus, en activant des scripts ou en ignorant des boîtes de dialogue d'avertissement2.

Qu'est-ce que CVE-2021-30860 ?

C'est une référence de faille citée par le CERT-FR dans son avis du 14 septembre 2021 sur les produits Apple, avec CVE-2021-308583. L'avis range ces vulnérabilités dans le risque « Exécution de code arbitraire à distance »3. Le texte du CERT-FR ne relie pas cette référence à Pegasus.

Quels appareils l'avis du CERT-FR concerne-t-il ?

Sont affectés les iOS et iPadOS antérieurs à la version 14.8, macOS Big Sur antérieur à 11.6, Safari antérieur à 14.1.2, watchOS antérieur à 7.6.2 et Catalina antérieur à 2021-0053.

Comment se protéger ?

Le MITRE indique que les mises à jour de sécurité contiennent souvent des correctifs de vulnérabilités1. Pour les attaques par site web, il écrit qu'elles contiennent fréquemment des correctifs d'exploits connus2.

1Dans la peau de l'attaquant1 min

Un attaquant qui vise un téléphone commence avec peu de droits. Le MITRE décrit ce point de départ : l'attaquant s'exécute d'abord dans un processus peu privilégié, qui l'empêche d'accéder à certaines ressources1. Des failles existent, le plus souvent dans des composants du système et des applications qui tournent avec des droits élevés, et permettent de passer d'un niveau utilisateur aux droits root1.

Les mécanismes de sécurité comme les niveaux de permission gênent l'accès aux données. Pour les contourner, l'attaquant devra probablement exploiter une faille logicielle1. C'est le rôle que le MITRE attribue à Pegasus pour iOS1.

Quand la cible est visée en tant que membre d'une communauté, l'attaquant peut choisir un site que cette communauté visite : administration, secteur d'activité ou région. Le MITRE appelle cela une compromission stratégique de site web, ou attaque du point d'eau2.

2Ce que vous voyez à l'écran1 min

Dans le scénario décrit par le MITRE pour une attaque par site web, des scripts s'exécutent automatiquement et cherchent la version du navigateur et de ses extensions2. Si une version vulnérable est trouvée, le code d'exploitation est envoyé au navigateur. Si l'exploitation réussit, l'attaquant obtient l'exécution de code sur l'appareil, sauf si d'autres protections sont en place2. Dans certains cas, une seconde visite du site est nécessaire avant l'envoi du code2.

Les sources citées ici ne décrivent pas ce que l'écran d'un iPhone infecté montre ou ne montre pas. Elles ne permettent donc pas d'affirmer qu'aucun signe n'apparaît.

Autre voie possible, qui concerne d'autres logiciels malveillants : un lien vers une application, envoyé par courriel, par SMS, par iMessage ou WhatsApp, ou encore par un code QR4. Le MITRE note que cette technique ne se contourne pas facilement avec des contrôles préventifs, car elle détourne des fonctions normales du système4.

3Sous le capotÉquipes IT1 min

Le mécanisme se fait en deux temps. D'abord un accès initial, par exemple par le navigateur2. Ensuite une élévation de privilèges, par une faille du système ou d'un composant qui tourne avec des droits élevés1.

Le MITRE cite plusieurs logiciels apparentés sur iOS. INSOMNIA exploite une faille de WebKit pour obtenir un accès root1. Lors de l'opération Triangulation, les attaquants ont exploité une faille du noyau pour obtenir les droits root1.

Un téléphone relié au réseau de l'entreprise, en connexion locale ou par VPN, peut aussi servir de point d'entrée. L'attaquant exploite alors des services distants pour atteindre d'autres systèmes internes5. Parmi les mesures citées, la configuration d'un VPN par application plutôt que sur tout l'appareil limite l'accès aux ressources internes aux seules applications approuvées5.

Le téléphone peut aussi être touché avant d'arriver chez l'utilisateur. Le MITRE décrit la compromission de la chaîne d'approvisionnement, qui regroupe les dépendances logicielles, les outils de développement et le matériel6. Les mises à jour de sécurité peuvent contenir des correctifs pour les appareils compromis à ce niveau6.

Côté défense, l'attestation d'appareil peut souvent détecter un téléphone débridé (jailbreak) ou rooté, et des produits de sécurité mobile le peuvent aussi1.

4AutopsiesCas réels1 min

13 et 14 septembre 2021 : les correctifs Apple relevés par le CERT-FR

Le 13 septembre 2021, Apple publie cinq bulletins de sécurité, de HT212804 à HT2128083. Le lendemain, le CERT-FR en tire un avis intitulé « Multiples vulnérabilités dans les produits Apple »3. Il indique que ces failles permettent à un attaquant de provoquer une exécution de code arbitraire à distance3. La solution proposée est de se référer aux bulletins de l'éditeur pour obtenir les correctifs3. Les deux références CVE citées sont CVE-2021-30858 et CVE-2021-308603.

Pour un salarié, la leçon pratique est celle de l'avis : les versions antérieures à iOS 14.8 et iPadOS 14.8 étaient affectées, et la mise à jour était la réponse3.

Pegasus pour iOS : une diffusion par site web

Le MITRE rapporte que Pegasus pour iOS a été diffusé par un site web, au moyen de failles du navigateur Safari sur iOS2. Les sources citées ici ne donnent pas de date pour ce cas.

Fiche

Identifiant
CP-139
Aile
2. Malwares et autopsies
Compétence Brain
Comprendre le hacking (understand_hacking)
Réflexe Brain
cr-012
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
6 sources vérifiées le 3 novembre 2026
Sources6 sources
  1. MITRE ATT&CK, « Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1404/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1456/ (consulté le 3 novembre 2026)
  3. CERT-FR (ANSSI), « Multiples vulnérabilités dans les produits Apple - CERT-FR », 14 septembre 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1476/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1428/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1474/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Pegasus et FORCEDENTRY sur iPhone », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/

BibTeX 
@misc{brain_cp139_fr_2026,
  author = {Brain},
  title = {Pegasus et FORCEDENTRY sur iPhone},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0