Paradigm Shift détaille usbliter8, une faille BootROM non patchable visant quatre puces Apple — A12, A13, S4 et S5 — et ouvrant l’exécution de code arbitraire via USB en mode DFU. De l’iPhone 11 à l’Apple Watch Series 5, plusieurs appareils sont concernés.
usbliter8 vise une zone qu’Apple ne peut plus corriger par mise à jour
La faille usbliter8, publiée le 18 juin 2026 par l’équipe Paradigm Shift, touche la BootROM de plusieurs puces maison d’Apple. Le point clé tient en une phrase : la BootROM est un code gravé dans le silicium. Une fois la puce fabriquée, ce socle ne change plus. Selon Paradigm Shift, l’exploit combine un bug matériel dans le contrôleur USB et une mauvaise configuration du firmware, avec à la clé une compromission de la chaîne de démarrage de l’application processor. Selon l’équipe, les SoC actuellement pris en charge sont les A12, A13, S4 et S5, tandis qu’un support technique des A12X et A12Z reste possible mais n’est pas encore implémenté.
Le sujet mérite mieux qu’un simple angle “jailbreak”. Ici, on parle d’un accès au démarrage avant le chargement d’iOS ou d’iPadOS. C’est beaucoup plus bas niveau qu’une vulnérabilité applicative ou qu’un bug noyau. Selon Apple, la chaîne de démarrage de l’iPhone commence justement dans la Boot ROM, ce code immuable servant de racine matérielle de confiance et vérifiant la signature d’iBoot avant tout chargement. En clair, quand cette première étape devient exploitable, toute la confiance placée dans le démarrage standard perd de sa valeur pour les appareils concernés.
Le mécanisme est technique, mais son impact se comprend vite
D’après Paradigm Shift, l’attaque passe par l’USB en mode DFU. L’exploit envoie des paquets spécialement forgés pour perturber les écritures mémoire du contrôleur USB. Sur A12 et A13, le pilote USB de la SecureROM laisse alors place à des corruptions mémoire exploitables. Les chercheurs précisent aussi qu’A11 n’est pas vulnérable à cette technique précise, car son pilote réinitialise manuellement l’adresse DMA après chaque paquet. Ils ajoutent qu’à partir de la génération A14, le DART USB semble correctement configuré dans la SecureROM, ce qui rend la vulnérabilité inexploitable dans leur scénario.
Mon avis est simple : c’est ce point qui change vraiment la lecture du dossier. L’article d’origine explique l’existence de la faille, mais le billet technique de Paradigm Shift montre surtout une frontière nette entre générations. Les puces A12 et A13 tombent dans une zone intermédiaire : plus récentes que les appareils touchés par checkm8, mais pas assez durcies au niveau de la SecureROM et de la configuration DART pour résister à cette nouvelle méthode.
Quels appareils sont réellement concernés
La liste des appareils exposés ne se limite pas à quelques iPhone anciens. Selon la publication de Paradigm Shift et les fiches techniques d’Apple, on retrouve notamment :
- A12 : iPhone XR, iPhone XS, iPhone XS Max, iPad Air 3, iPad mini 5, iPad 8 et Apple TV 4K de 2e génération.
- A13 : iPhone 11, iPhone 11 Pro, iPhone 11 Pro Max, iPhone SE de 2e génération, iPad 9 et Studio Display.
- S4 : Apple Watch Series 4.
- S5 : Apple Watch Series 5, Apple Watch SE 1 et HomePod mini.
Ce périmètre compte parce qu’il couvre encore des produits largement utilisés. Selon Apple, l’iPhone 11 embarque une puce A13 Bionic avec CPU 6 cœurs, GPU 4 cœurs et Neural Engine 8 cœurs. L’iPhone XS, lui, repose sur l’A12 Bionic et un écran OLED 458 ppp. L’Apple TV 4K de 2e génération utilise aussi un A12 Bionic. Enfin, l’Apple Watch Series 5 repose sur un S5 SiP double cœur 64 bits avec écran toujours allumé à 1 000 nits. Autrement dit, on ne parle pas d’un parc marginal ou anecdotique.
Deux métriques qui montrent l’écart entre générations touchées
Les chiffres matériels aident à situer le niveau de ces appareils. Selon les fiches techniques d’Apple, l’iPhone XS affiche 177 g contre 194 g pour l’iPhone 11. Le passage de l’un à l’autre représente un gain de masse de 9,6 % pour l’iPhone 11. Ce n’est pas un critère de sécurité, mais cela rappelle que les deux familles visées appartiennent à des cycles produits distincts, avec des compromis matériels différents.
Deuxième indicateur dérivé : selon Apple, l’iPhone XS monte à 458 ppp alors que l’iPhone 11 reste à 326 ppp. L’écart de densité atteint 40,5 % en faveur de l’iPhone XS. Là encore, la sécurité ne suit pas mécaniquement le positionnement produit. Un modèle “plus premium” à l’époque n’est pas mieux protégé contre un bug de BootROM qu’un modèle plus accessible de génération voisine.
Secure Enclave : pas cassé directement, mais pas hors sujet pour autant
Le billet de Paradigm Shift insiste sur un point que beaucoup de lecteurs résument mal : usbliter8 ne compromet pas directement le Secure Enclave Processor, ou SEP. Selon Apple, le Secure Enclave est un processeur matériel isolé, chargé notamment de protéger les secrets sensibles et de participer au démarrage sécurisé de son propre logiciel. Selon la documentation de la plateforme, sur les SoC A10 et ultérieurs, la Boot ROM du Secure Enclave verrouille aussi un condensat cryptographique de sepOS dans un registre dédié.
Il faut donc éviter deux excès. Premier excès : dire que tout le chiffrement de l’iPhone tombe. C’est faux. Deuxième excès : dire que l’affaire reste mineure. C’est trop court. Selon Apple, sur les appareils à SoC A12, la Boot ROM du Secure Enclave verrouille le passcode seed bit quand l’Application Processor entre en mode DFU ou Recovery. Cette séparation protège les données chiffrées, mais elle n’annule pas l’intérêt offensif d’un contrôle du démarrage côté processeur principal. Mon avis est net : la présence du SEP limite la casse sur les données au repos, mais elle ne transforme pas cette faille en simple curiosité de labo.
Pourquoi l’accès physique reste le vrai verrou
L’exploitation repose sur le mode DFU et sur une liaison USB. Cela implique un accès physique à l’appareil, ou à minima un contrôle direct de son environnement de restauration. C’est une contrainte forte pour le grand public. En pratique, un pirate à distance ne peut pas déclencher seul ce scénario via le web ou une application. Selon Apple, le mode DFU est justement un mode défini par la Boot ROM sur les appareils A12 ou plus récents pour restaurer l’appareil quand iBoot ne démarre pas normalement.
Cette contrainte ne doit pourtant pas rassurer à outrance. Dans certains contextes, l’accès physique suffit largement : saisie d’appareil, atelier non fiable, occasion reconditionnée, environnement de recherche, forensic offensif, flotte d’entreprise mal gérée, ou simple terminal laissé sans surveillance. C’est là que le dossier devient concret. Une faille non patchable avec accès physique n’est pas un drame quotidien pour tous les utilisateurs, mais c’est un vrai problème de cycle de vie matériel.
A13 est plus difficile à casser qu’A12, mais pas hors de portée
Le cas A13 mérite une section à part. Selon Paradigm Shift, l’exploitation d’A13 est plus complexe en raison de l’introduction de PAC, pour Pointer Authentication. Cette protection signe certains pointeurs de retour pour compliquer les détournements de flux d’exécution. Les chercheurs expliquent toutefois avoir contourné plusieurs garde-fous, dont les sommes de contrôle des métadonnées du tas et la signature des LR lors des changements de contexte, via une corruption mémoire en plusieurs étapes.
Mon avis ici est clair : l’existence de PAC ralentit l’exploitation, mais ne la rend pas impossible quand le défaut se situe au niveau SecureROM et qu’il s’appuie sur une écriture mémoire assez basse. C’est une bonne leçon pour tous les concepteurs de puces : empiler des mitigations logicielles ou semi-matérielles ne remplace jamais une configuration sûre des blocs d’E/S critiques dès le tout premier étage du boot.
Le précédent checkm8 éclaire ce qui peut suivre
Le parallèle avec checkm8 s’impose, même si la technique diffère. checkm8 visait des générations antérieures et a servi de base à plusieurs outils de jailbreak et de recherche. usbliter8 arrive plus tard, sur des puces qu’une partie de l’écosystème pensait durablement hors d’atteinte à ce niveau. La différence majeure, selon Paradigm Shift, est que leur preuve de concept couvre officiellement A12, S4/S5 et A13, alors que le support A12X/Z n’est pas encore activé.
Le dépôt GitHub publié par l’équipe comptait 261 étoiles, 22 forks et une version v1.0 datée du 18 juin 2026 au moment de la consultation. L’article d’origine parlait de plus de 280 étoiles en quelques heures ; l’instantané actuel montre donc un niveau inférieur de 6,8 % par rapport à ce chiffre, ce qui rappelle qu’un compteur GitHub fluctue et ne doit jamais être repris sans date. C’est un détail, mais il dit quelque chose : le sujet circule vite, et les métriques sociales vieillissent en quelques heures.
La vraie mitigation, c’est le renouvellement matériel
Selon Paradigm Shift, la mitigation la plus efficace reste la migration vers un matériel plus récent. Cette phrase peut sembler brutale, mais elle colle à la nature du bug. Quand la faiblesse vit dans un code immuable, Apple peut durcir le système autour, compliquer certains scénarios, maintenir les OS, ou renforcer les politiques de restauration, mais elle ne peut pas réécrire la racine matérielle déjà gravée dans les puces livrées.
Ce point pèse aussi dans le marché actuel. Selon IDC, les expéditions mondiales de smartphones neufs ont atteint 1,26 milliard d’unités en 2025, en hausse de 2,0 % sur un an, tandis que le segment de l’occasion progresse plus vite : selon IDC, les expéditions mondiales de smartphones d’occasion devaient croître de 3,2 % en 2025 contre 1 % seulement attendu pour le neuf. Mon opinion est simple : cette faille touche précisément un angle mort du marché reconditionné. Plus les appareils A12 et A13 restent attractifs en seconde main, plus une vulnérabilité non patchable garde une portée concrète.
Un contexte de marché qui prolonge la durée de vie des appareils visés
Le calendrier n’aide pas à banaliser l’affaire. Selon Counterpoint Research, Apple détenait 21 % du marché mondial du smartphone au premier trimestre 2026, avec une croissance de livraisons de 9 % sur un an. Selon IDC, le quatrième trimestre 2025 a totalisé 336,9 millions de smartphones expédiés dans le monde. Cela signifie que l’écosystème iPhone reste massif, et que les générations anciennes continuent de circuler longtemps, surtout via l’occasion.
Autre donnée utile : selon Statcounter, en France, iOS 26.4 représentait 35,87 % des versions iOS mobiles observées en mai 2026, devant iOS 26.3 à 17,8 % et iOS 26.5 à 11,49 %. La répartition par version ne dit pas quels modèles précis sont encore en service, mais elle confirme un parc actif important côté iPhone. En d’autres termes, une faille de démarrage sur des appareils encore parfaitement utilisables ne reste pas cantonnée à l’archéologie mobile.
Ce que cela change pour l’utilisateur, l’entreprise et le reconditionné
Pour un particulier, la règle est factuelle : si vous utilisez encore un iPhone XR, XS, 11 ou SE 2020, la menace principale n’est pas une attaque distante de masse, mais une manipulation physique ciblée de l’appareil. Pour une entreprise, la lecture change : tout terminal ancien laissé en circulation dans une flotte sensible augmente le risque lors des opérations de maintenance, de retour SAV, de cession ou d’investigation interne. Pour le marché du reconditionné, le sujet devient commercial : l’état logiciel ne suffit pas à résumer l’état de sécurité quand la faiblesse est inscrite au niveau de la puce.
Si l’on convertit un prix en dollars lié à ce marché, le taux de référence de la BCE au 18 juin 2026 est de 1 € = 1,1461 $, soit 1 $ = 0,873 €. Aucune donnée de prix exploitable n’est communiquée dans la source technique sur usbliter8, donc aucun chiffrage de coût d’attaque sérieux ne peut être ajouté ici sans spéculer. Sur ce dossier, mieux vaut écrire non communiqué que remplir les blancs.
Le seul point qui compte à la fin : le boot sécurisé n’est jamais abstrait
Selon Apple, la Boot ROM contient la clé publique de l’autorité racine Apple qui sert à vérifier iBoot. Selon Paradigm Shift, usbliter8 permet justement de prendre le contrôle assez tôt pour contourner les vérifications de signature et lancer un logiciel système modifié. C’est la définition même d’une rupture de confiance dans le démarrage, même si le SEP protège encore les secrets les plus sensibles.
Mon jugement est sans détour : cette publication a plus de portée qu’un simple exploit de démonstration. Elle montre qu’entre checkm8 et les générations récentes mieux verrouillées, il existait encore une fenêtre exploitable sur des appareils largement diffusés. Pour comprendre le détail technique, la source d’autorité reste la publication de Paradigm Shift : https://ps.tc/pages/blog-usbliter8.html.
Mon avis :
Avis d’expert : la faille usbliter8 est sérieuse, car elle touche le BootROM d’A12/A13 et permet une exécution de code avant iOS avec simple accès physique en mode DFU ; en revanche, son impact grand public reste limité, puisque le Secure Enclave n’est pas directement compromis et que les données chiffrées restent protégées.
