Alerte cybersécurité · Maroc · 2026
Des utilisateurs et des entreprises marocaines signalent des pertes d’accès à des comptes WhatsApp et WhatsApp Business, parfois accompagnées d’un changement d’adresse e-mail ou d’une modification des administrateurs.
Cette situation mérite une réponse structurée : la vulnérabilité Apple CVE‑2026‑86950 existe bien et a pu être exploitée dans des attaques ciblées, mais elle n’explique pas à elle seule la majorité des prises de contrôle de comptes.
Ce que nous avons vérifié côté DGSSI et maCERT
Au moment de cette vérification, nous n’avons pas trouvé sur le site officiel de la DGSSI un bulletin explicitement consacré à CVE‑2026‑86950. En revanche, la DGSSI/maCERT a déjà publié plusieurs alertes officielles liées à WhatsApp et aux attaques distribuées par des fichiers ou des messages :
- un bulletin de septembre 2025 sur une vulnérabilité critique affectant WhatsApp sur iOS et Mac ;
- un bulletin d’avril 2025 sur une vulnérabilité de WhatsApp pour Windows ;
- une note de novembre 2025 sur le logiciel espion Android LANDFALL, dont la diffusion pouvait passer par des médias reçus via des applications telles que WhatsApp.
La note LANDFALL recommande notamment de maintenir les terminaux à jour, de restreindre le traitement des fichiers provenant de sources inconnues et de signaler les activités suspectes au maCERT. La DGSSI indique comme point de contact maCERT : contact@macert.gov.ma. Pour les incidents relevant de leur périmètre, il faut conserver les éléments de preuve et suivre la procédure officielle de déclaration.
Bulletin DGSSI sur WhatsApp iOS/Mac · Note DGSSI sur LANDFALL · Coordonnées DGSSI/maCERT
La note ANSSI/CERT-FR sur le ciblage des messageries
Une note officielle française publiée par le CERT-FR, dans le cadre du Centre de Coordination des Crises Cyber (C4), complète utilement les alertes marocaines. Elle ne décrit pas une nouvelle faille WhatsApp : elle décrit une méthode de prise de contrôle qui détourne des fonctions normales des messageries.
Les attaquants se font passer pour un support technique ou pour un contact connu. Ils demandent parfois de rejoindre un groupe en scannant un QR code. Or ce QR code peut associer le compte à un appareil contrôlé par l’attaquant. Dans un autre scénario, la victime répond à un faux support et communique un code PIN ou un code de vérification. L’attaquant peut alors modifier les paramètres du compte, parfois sans que la victime perde immédiatement l’accès.
Cette note est utile pour comprendre les incidents observés au Maroc : un compte peut être détourné sans casser le chiffrement et sans infecter le téléphone. C’est l’identité du compte et ses appareils associés qui sont compromis. Le CERT-FR recommande de vérifier régulièrement les appareils associés, de supprimer ceux qui sont inconnus, de ne jamais scanner un QR code reçu de manière inattendue et de passer par un autre canal pour vérifier une demande urgente.
Lire la note CERT-FR/ANSSI du 20 mars 2026
CVE‑2026‑86950 : une faille réelle de CoreGraphics
Apple a corrigé CVE‑2026‑86950 dans iOS et iPadOS 26.7.1, publiés le 28 septembre 2026. La faille se trouve dans CoreGraphics, le composant qui rend notamment le texte, les glyphes, les PDF et les images. Apple décrit une écriture hors limites pouvant conduire à l’exécution arbitraire de code lors du traitement d’un fichier malveillant.
Apple précise aussi avoir connaissance d’un rapport selon lequel la faille aurait pu être exploitée dans une attaque « extrêmement sophistiquée » contre des personnes ciblées utilisant des versions antérieures à iOS 27. Cela justifie une mise à jour immédiate, en particulier pour les personnes exposées : dirigeants, journalistes, responsables publics, administrateurs, chercheurs et équipes manipulant des informations sensibles.
La fiche NVD associe la faiblesse à CWE‑787 (écriture hors limites) et affiche une évaluation CISA‑ADP de 8,8/10. Les versions corrigées minimales sont iOS/iPadOS 26.7.1, macOS Sequoia 15.8.1 et macOS Tahoe 26.7.1. Il faut installer la version la plus récente proposée par Apple, et pas seulement le seuil minimal.
Avis Apple iOS/iPadOS 26.7.1 · Avis Apple macOS Sequoia 15.8.1 · Fiche NVD CVE‑2026‑86950
Pourquoi le nom « Great Glyph Grift » revient
L’analyse technique publiée par Calif décrit un défaut dans le rasteriseur anti‑aliasé des glyphes. CoreGraphics convertit des coordonnées flottantes en coordonnées entières fixes, avec une précision de 1/4096. Certaines valeurs extrêmes dépassent la plage d’un entier signé 32 bits. Deux chemins internes convertissent alors différemment la même valeur.
La boîte englobante du glyphe peut ainsi être calculée trop petite. CoreGraphics réserve un tampon de couverture insuffisant, puis écrit au-delà de cette zone lors du rendu. Calif a publié un PDF et une police TrueType spécialement construits qui provoquent un crash sur macOS et iOS. Le passage de ce crash à une exécution de code fiable n’est pas démontré publiquement dans cette analyse.
Lire l’analyse technique de Calif
Le chemin WhatsApp « zero‑click » est-il confirmé ?
Non, pas comme chaîne complète. La piste est techniquement crédible, mais elle doit être formulée avec prudence.
Calif a étudié deux versions récentes de WhatsApp et observé un renforcement de l’analyse des PDF dans le composant Kaleidoscope de Meta. Le code inspecte notamment les flux de polices intégrées (FontFile) et attribue des indicateurs tels que MalformedFontProgram, UndecodableFontProgram et UnverifiedFontProgram. Ces changements montrent que les pièces jointes PDF et les polices embarquées sont considérées comme une surface de risque.
Le scénario possible serait le suivant : un attaquant envoie un PDF malveillant ; WhatsApp tente d’en générer une miniature ou une prévisualisation ; CoreGraphics rend le glyphe ; la corruption mémoire se produit avant que l’utilisateur ouvre explicitement le document. Mais il faut encore démontrer la chaîne complète, son exploitation fiable et son éventuel contournement des protections iOS et WhatsApp.
Conclusion : la CVE doit être corrigée immédiatement, mais elle ne prouve pas que tous les comptes WhatsApp sont compromis et elle ne permet pas d’attribuer automatiquement la vague de prises de contrôle observée au Maroc.
Pourquoi un compte WhatsApp Business peut être perdu sans exploiter cette CVE
Vol du code d’inscription
L’attaquant obtient le code SMS ou vocal à six chiffres, souvent en se faisant passer pour WhatsApp, Meta, un opérateur ou un collègue. Il réenregistre alors le numéro sur son appareil. WhatsApp indique que cette réinscription déconnecte les appareils précédemment connectés.
Vérification en deux étapes remplacée
Après la prise de contrôle, l’attaquant peut ajouter son propre PIN ou mot de passe de vérification en deux étapes et associer une adresse e-mail qu’il contrôle. La victime peut ensuite être bloquée par un code qu’elle n’a jamais configuré. WhatsApp prévoit un délai de sept jours dans certains cas avant de pouvoir réinitialiser cette protection.
Compte e-mail ou session déjà compromise
Si l’adresse e-mail de récupération, le téléphone, WhatsApp Web ou l’ordinateur d’un administrateur est compromis, l’attaquant peut intercepter les codes et modifier les paramètres. Changer un mot de passe ne suffit pas toujours à supprimer une session déjà active.
Meta Business Manager ou WABA compromis
Pour WhatsApp Business Platform/API, il faut aussi vérifier le portefeuille Meta Business, les administrateurs, les utilisateurs système, les jetons API et les webhooks. Un changement d’e-mail peut concerner la couche d’administration Meta plutôt que le compte WhatsApp installé sur le téléphone.
SIM swap, perte de numéro ou appareil infecté
Un remplacement frauduleux de SIM, un transfert d’appel, un téléphone volé ou un logiciel espion peuvent permettre de recevoir les codes ou d’exploiter une session déjà ouverte.
Sécuriser immédiatement un compte encore accessible
Si WhatsApp est encore ouvert sur votre téléphone, ne vous déconnectez pas et ne supprimez pas l’application. Ces quatre actions réduisent le risque tout en conservant les traces utiles.
Réflexe AILAB · les 4 gestes immédiats
01
Stopper l’exposition
Mettez l’appareil en pause, ne répondez plus aux demandes inhabituelles et ne scannez aucun QR code reçu par message. Vous évitez d’aggraver l’incident.
02
Fermer les accès inconnus
Ouvrez Appareils liés et sessions Meta, capturez la liste, puis supprimez seulement les appareils ou administrateurs que vous ne reconnaissez pas.
03
Renforcer l’identité
Activez la vérification en deux étapes avec un PIN unique, une adresse e-mail maîtrisée et, pour Meta, une MFA ou une passkey.
04
Alerter et surveiller
Prévenez les contacts par un autre canal, conservez les notifications et contrôlez à nouveau les appareils liés après quelques heures.
À ne pas faire : ne communiquez jamais un code reçu par SMS, ne désinstallez pas l’application avant d’avoir conservé les preuves et ne réinitialisez pas le téléphone avant d’avoir évalué le besoin d’une analyse.
Procédure d’urgence pour récupérer un compte
Suivez ces étapes dans l’ordre. Elles servent à reprendre la main tout en préservant les éléments utiles à l’analyse.
- Sécuriser le numéro : contacter l’opérateur, vérifier un éventuel remplacement de SIM et récupérer la même ligne.
- Réenregistrer le numéro : ouvrir WhatsApp sur un appareil sûr et saisir le code reçu par SMS ou appel.
- Attendre si nécessaire : si un PIN inconnu est demandé, suivre le mécanisme officiel et attendre le délai indiqué plutôt que multiplier les tentatives.
- Examiner les appareils liés : supprimer toute session inconnue.
- Sécuriser l’e-mail : changer le mot de passe depuis un appareil sain, activer une MFA forte, révoquer les sessions et vérifier les règles de transfert.
- Sécuriser Meta Business : supprimer les administrateurs inconnus, révoquer les jetons API et vérifier les webhooks, numéros et moyens de paiement.
- Prévenir les contacts : informer les clients et collègues que les messages envoyés pendant la compromission peuvent être frauduleux.
- Préserver les preuves : conserver les notifications, e-mails, captures et horodatages avant de réinitialiser un appareil.
Ne communiquez jamais le code d’inscription à un tiers. WhatsApp rappelle que la récupération passe par le réenregistrement du numéro et recommande ensuite d’examiner les appareils liés et d’activer les protections de sécurité.
WhatsApp : récupérer un compte compromis · WhatsApp : codes e-mail et réinitialisation de la vérification en deux étapes
Remédiations détaillées selon le scénario
Si le compte est encore ouvert sur le téléphone
Ne désinstallez pas immédiatement l’application. Faites des captures des paramètres, des appareils liés, des changements de profil et des notifications reçues. Supprimez ensuite tout appareil inconnu depuis la rubrique des appareils associés, activez la vérification en deux étapes et ajoutez une adresse e-mail de récupération que l’entreprise contrôle.
Si l’accès au compte est perdu
Commencez par sécuriser le numéro auprès de l’opérateur. Demandez si une nouvelle SIM, un transfert d’appel ou une portabilité récente a été demandé. Une fois la ligne récupérée, réenregistrez le numéro dans WhatsApp avec le code reçu par SMS ou appel. Cette étape déconnecte les appareils de l’attaquant. Si un PIN inconnu est demandé, n’essayez pas de le deviner : suivez le délai de récupération officiel.
Si l’adresse e-mail a été changée
Sécurisez l’e-mail depuis un appareil sain : nouveau mot de passe unique, authentification multifacteur, révocation de toutes les sessions, contrôle des règles de transfert et des adresses de récupération. Recherchez les messages de sécurité WhatsApp, Meta et de l’opérateur. Une boîte e-mail compromise peut permettre à l’attaquant de reprendre le compte après sa récupération.
Si WhatsApp Business Platform ou WABA est utilisé
Dans Meta Business Manager, contrôlez les administrateurs ayant le contrôle total, les utilisateurs système, les jetons API, les webhooks, les fournisseurs connectés, les numéros et les moyens de paiement. Révoquez tout accès inconnu, recréez les jetons nécessaires et conservez les journaux avant nettoyage. Faites intervenir le support Meta Business avec l’ID du portefeuille, l’ID WABA, le numéro concerné et les dates des modifications.
Si un QR code ou un faux support est impliqué
Considérez le compte comme potentiellement associé à un appareil tiers. Prévenez les contacts par un autre canal, demandez-leur d’ignorer les messages envoyés pendant la période suspecte et vérifiez les groupes où un doublon ou un nouveau profil apparaît. Aucun support légitime ne demande un code d’inscription ou un PIN dans une conversation WhatsApp.
Si l’appareil Apple ou Android est suspect
Mettez à jour le système et WhatsApp, activez le verrouillage de l’appareil et, pour les personnes fortement exposées, le mode Isolement Apple. Évitez de réinitialiser le téléphone avant d’avoir sauvegardé les éléments utiles à l’analyse. Pour une entreprise, isolez l’appareil du réseau professionnel et faites réaliser une analyse par un prestataire qualifié.
Pour l’entreprise
Établissez une procédure écrite : qui récupère le numéro, qui contacte Meta, qui informe les clients, qui révoque les jetons et qui conserve les preuves. Maintenez deux administrateurs de récupération contrôlés, séparez les comptes personnels des comptes d’administration, imposez la MFA et vérifiez les appareils associés à intervalles réguliers.
Mesures pour les entreprises marocaines
- imposer une version Apple et WhatsApp à jour sur les téléphones professionnels ;
- activer MFA et passkeys pour les administrateurs Meta ;
- séparer les comptes d’administration et les comptes personnels ;
- maintenir au moins deux administrateurs de récupération, avec contrôle périodique ;
- inventorier les appareils liés et les jetons API ;
- former les équipes : aucun support légitime ne demande un code reçu par SMS ;
- prévoir une procédure de révocation, récupération et communication de crise ;
- signaler les incidents au maCERT lorsque le périmètre et la gravité le justifient.
À retenir
CVE‑2026‑86950 est une vulnérabilité Apple sérieuse, corrigée et potentiellement exploitée dans des attaques ciblées. La piste d’un PDF WhatsApp traité automatiquement est plausible mais reste à distinguer d’une preuve de chaîne zero‑click complète. Pour les pertes d’accès observées au Maroc, les causes les plus probables restent le vol de code, le SIM swap, la compromission d’un e-mail, d’une session liée ou d’un administrateur Meta Business.
La priorité est double : corriger les appareils et reprendre le contrôle de l’identité numérique — numéro, e-mail, sessions liées, administrateurs et jetons API.
