Certaines vulnérabilités attirent l'attention parce qu'elles touchent une application connue. D'autres méritent une analyse plus profonde parce qu'elles révèlent une évolution silencieuse de la menace numérique. L'affaire WhatsApp sur iPhone appartient clairement à cette seconde catégorie.
En 2025, Meta et Apple ont confirmé l'exploitation d'une chaîne de vulnérabilités visant certains utilisateurs de WhatsApp sur les plateformes Apple. Le point le plus préoccupant n'est pas seulement l'existence d'une faille dans WhatsApp ou dans iOS. Le véritable enjeu est ailleurs : l'attaque pouvait être déclenchée sans action visible de la victime.
- Pas de lien ouvert.
- Pas de QR code scanné.
- Pas d'application suspecte installée.
- Pas nécessairement d'alerte compréhensible pour l'utilisateur.
C'est précisément ce que l'on appelle une attaque zero-click.
Une attaque qui contourne le réflexe classique de prudence
Pendant longtemps, la sensibilisation cybersécurité s'est fortement appuyée sur une idée simple : ne cliquez pas sur les liens suspects, ne téléchargez pas de fichiers inconnus, ne répondez pas aux messages douteux.
Ces conseils restent utiles. Mais ils ne suffisent plus face à certaines attaques mobiles avancées.
Dans une attaque zero-click, l'utilisateur ne commet pas forcément d'erreur. L'attaque exploite plutôt des traitements automatiques réalisés par l'application ou par le système d'exploitation : réception d'un message, analyse d'un fichier, traitement d'une image, synchronisation entre appareils, prévisualisation d'un contenu distant.
Autrement dit, ce n'est plus seulement le comportement humain qui est visé. Ce sont les mécanismes invisibles du téléphone.
Deux vulnérabilités combinées
L'attaque documentée repose sur une chaîne combinant deux vulnérabilités :
Autorisation incomplète dans les messages de synchronisation des appareils associés.
Traitement d'un fichier image malveillant par le composant ImageIO d'iOS.
Pris séparément, ces deux problèmes sont déjà sérieux. Combinés, ils deviennent beaucoup plus dangereux.
La vulnérabilité WhatsApp pouvait permettre à un acteur malveillant de déclencher le traitement d'un contenu distant sur l'appareil ciblé. La vulnérabilité Apple pouvait ensuite être exploitée lors du traitement d'une image spécialement conçue, provoquant une corruption mémoire.
C'est cette logique d'enchaînement qui rend les attaques modernes particulièrement redoutables : l'attaquant ne cherche pas toujours une seule faille « magique ». Il assemble plusieurs faiblesses, chacune située à un niveau différent du système, pour atteindre son objectif.
Le chiffrement WhatsApp n'a pas été cassé
Un point doit être clairement compris : cette affaire ne signifie pas que le chiffrement de bout en bout de WhatsApp a été cassé.
Dans ce type de scénario, l'attaquant ne cherche pas nécessairement à intercepter les messages sur le réseau. Il cherche plutôt à compromettre directement le terminal. La différence est fondamentale.
Lorsque le téléphone est sain, le chiffrement protège les échanges entre les correspondants. Mais si l'appareil lui-même est compromis, l'attaquant peut potentiellement accéder aux données dans l'environnement de l'utilisateur légitime : messages affichés, sessions actives, fichiers, métadonnées ou autres informations présentes sur le terminal.
Une menace ciblée, pas une panique généralisée
Les informations disponibles indiquent que cette campagne n'était pas une attaque de masse. Elle aurait visé un nombre limité de personnes, avec un profil correspondant davantage à des opérations de cyberespionnage : journalistes, défenseurs des droits humains, membres de la société civile ou personnes exposées.
Cela ne veut pas dire que le grand public doit paniquer. Cela signifie plutôt que les techniques utilisées contre des cibles sensibles aujourd'hui peuvent inspirer les attaques de demain. En cybersécurité, les méthodes les plus avancées finissent souvent par influencer l'écosystème criminel plus large.
Ce que cette affaire nous enseigne
Cette attaque rappelle une leçon importante : sur mobile, la surface d'attaque ne se limite plus aux applications visibles. Elle comprend aussi :
- les moteurs de traitement d'images ;
- les composants multimédias ;
- les bibliothèques système ;
- les mécanismes de synchronisation ;
- les notifications ;
- les protocoles de communication ;
- les fonctions de liaison entre appareils.
Le smartphone moderne est devenu une plateforme complexe, composée de dizaines de couches logicielles qui traitent automatiquement des contenus reçus depuis l'extérieur. Plus cette automatisation est grande, plus la surface d'attaque augmente.
Ce que les utilisateurs doivent faire
Pour la majorité des utilisateurs, les mesures les plus importantes restent simples :
- Mettre à jour iOS dès qu'un correctif est disponible.
- Mettre à jour WhatsApp et WhatsApp Business.
- Vérifier régulièrement les appareils associés à son compte WhatsApp.
- Éviter les appareils anciens qui ne reçoivent plus de correctifs de sécurité.
- Redémarrer périodiquement son téléphone.
- Activer le mode verrouillage (Lockdown Mode) Apple pour les profils particulièrement exposés.
Pour les journalistes, responsables publics, défenseurs des droits humains, dirigeants, experts techniques ou personnes travaillant sur des sujets sensibles, il faut aller plus loin : surveillance des notifications de sécurité, hygiène numérique stricte, réduction des applications installées, séparation des usages personnels et professionnels, et accompagnement par des spécialistes en cas de doute.
Conclusion
L'affaire WhatsApp sur iPhone illustre une évolution majeure de la menace mobile.
La question n'est plus seulement : « Est-ce que j'ai cliqué sur quelque chose de suspect ? »
Dans un monde où les téléphones concentrent nos communications, nos identités numériques, nos documents, nos contacts et parfois nos responsabilités professionnelles, la sécurité mobile n'est plus un simple confort technique.
C'est devenu un enjeu de confiance, de protection personnelle et, pour certains profils, de sécurité stratégique.
Sources & références
- WhatsApp Security Advisories 2025 Bulletins officiels publiés par WhatsApp recensant les avis de sécurité de l'année. whatsapp.com/security/advisories/2025
- Meta / Facebook Security Advisory — CVE-2025-55177 Description technique de l'avis de sécurité Meta relatif à la vulnérabilité côté WhatsApp. facebook.com/security/advisories/cve-2025-55177
- Apple Security Update — iOS 18.6.2 / iPadOS 18.6.2 — CVE-2025-43300 Note de sécurité Apple détaillant le correctif ImageIO publié pour iOS et iPadOS. support.apple.com/en-us/124925
- NIST NVD — CVE-2025-55177 Fiche officielle de la vulnérabilité dans la National Vulnerability Database américaine. nvd.nist.gov/vuln/detail/CVE-2025-55177
- Security Affairs — Zero-click WhatsApp account takeover hits iPhone users Analyse détaillée par Security Affairs des conditions d'exploitation observées sur iOS 16. securityaffairs.com/192627/security/zero-click-whatsapp-account-takeover-hits-iphone-users-running-ios-16-no-linked-devices-no-warning.html
- The Hacker News — WhatsApp issues emergency update Couverture journalistique de la publication du correctif d'urgence par WhatsApp. thehackernews.com/2025/08/whatsapp-issues-emergency-update-for.html
- TechCrunch — WhatsApp fixes zero-click bug used to hack Apple users with spyware Article TechCrunch documentant l'utilisation de la chaîne d'exploitation contre des cibles ciblées. techcrunch.com/2025/08/29/whatsapp-fixes-zero-click-bug-used-to-hack-apple-users-with-spyware
- Malwarebytes — WhatsApp fixes vulnerability used in zero-click attacks Synthèse technique et conseils de mitigation publiés par Malwarebytes Labs. malwarebytes.com/blog/news/2025/09/whatsapp-fixes-vulnerability-used-in-zero-click-attacks