#Le brief du 22 juillet 2026

[MàJ] Après plus d’un an d’attente, Apple bouche une faille de « Hide my Email »

Les alertes envoyées par les chercheurs en sécurité devraient suffire pour que les entreprises fassent le nécessaire et bouchent les failles rapidement. Mais parfois, il faut aussi secouer le cocotier pour qu’elles s’exécutent. C’est le cas d’Apple, qui a finalement corrigé une vulnérabilité dans son service « Masquer mon adresse e-mail » plus d’un an après sa découverte. La médiatisation de cette faille a forcé la main du constructeur.

Illustration : Flock

Début juillet, on découvrait l’existence d’une vulnérabilité dans « Masquer mon adresse e-mail » (Hide My Email), un service offert aux abonnés iCloud+ d’Apple. La fonction crée automatiquement une fausse adresse durant l’inscription sur un site ou une application, afin de ne pas révéler sa vraie adresse. Cette faille permettait de retrouver l’adresse e-mail originale.

Le chercheur en sécurité Tyler Murphy d’EasyOptOut a prévenu Apple de sa découverte en juin 2025. En mars 2026, l’entreprise a affirmé que le problème avait été résolu… sauf que ce n’était pas le cas : la faille était toujours exploitable. Alertée de nouveau, Apple a indiqué en mai qu’un correctif avait été mis au point et serait appliqué dans les prochaines semaines, avant de se murer dans le silence.

Tyler Murphy a alors contacté 404media pour médiatiser l’affaire, sans rien révéler sur la nature précise du problème afin de ne pas donner des idées à des malandrins. L’affaire a pris suffisamment d’ampleur pour qu’Apple se décide finalement à appliquer un correctif. Maintenant que la faille appartient au passé, le site explique qu’il suffisait d’envoyer un message à un utilisateur ciblé de « Masquer mon adresse e-mail » et que celui-ci soit rejeté comme spam pour pouvoir exploiter la faille.

« Nous ne pensons toutefois pas que tout risque soit désormais écarté », préviennent Tyler Murphy et Ben Weiner, le cofondateur de la société EasyOptOut. « Des e-mails non malveillants pouvaient être rejetés et révéler votre adresse masquée. Comme les journaux de transfert des messages sont souvent conservés, nous estimons que toute adresse masquée associée à une adresse créée avec “Masquer mon adresse e-mail” avant le 7 juillet 2026 a pu être exposée et pourrait encore figurer dans des journaux détenus par des tiers », précisent-ils.

Apple n’est donc peut-être pas encore au bout de ses peines. À cela s’ajoute une plainte (PDF) déposée en Californie le 17 juillet, qui accuse l’entreprise d’avoir trompé ses clients sur le niveau de confidentialité de la fonction « Masquer mon adresse e-mail », tout en la leur faisant payer.

Mise à jour — Un bug n’arrive jamais seul. Le développeur Jeff Johnson et MacGeneration ont mis la main sur une autre vulnérabilité qui touche directement le logiciel Mail d’Apple. Cette vulnérabilité permet à un plaisantin de récupérer l’adresse liée au compte Apple d’une personne qui ne souhaite pas la partager.

Le piège est très simple. Il suffit d’envoyer un courriel à l’adresse connue de la victime en ajoutant un en-tête spécifique qui active le bug. Le message affiche un bandeau « Ce message vous a été transféré via « Masquer mon adresse e-mail » », qui doit mettre la puce à l’oreille car il n’apparait habituellement pas.

Si l’utilisateur répond tout de même à l’e-mail malveillant depuis l’app Mail, son adresse « À: » sera celle du compte Apple… pas l’adresse d’origine à laquelle le courriel avait été envoyé. C’est embêtant, car on peut ne pas vouloir divulguer l’adresse de son compte Apple ou alors uniquement à des proches. Apple a été prévenue de ce nouveau bug.

Buzz, l’espace de travail partagé entre humains et agents IA selon Jack Dorsey

Jack Dorsey a annoncé mardi le dernier projet en date porté par son entreprise Block : un espace de travail baptisé Buzz, dans lequel des développeurs humains et des agents IA sont censés pouvoir collaborer de façon efficace et sécurisée. En pratique ? L’interface ressemble à celle d’un Slack, d’un Mattermost ou d’un Discord, au sein duquel les agents IA ne sont pas traités comme des composants externes, mais comme des membres à part entière.

« Oui, c’est encore un outil pour développeurs lié à l’IA. Nous en sommes désolés. La différence réside dans ce que les agents peuvent réellement accomplir une fois intégrés : ouvrir des dépôts, envoyer des correctifs, réviser du code, exécuter des workflows, modifier des canevas, orchestrer d’autres agents, rejoindre des échanges vocaux, créer des canaux et faire intervenir les personnes concernées », décrit le Readme du projet.

Capture d’écran du client Buzz sur macOS – crédit Buzz

Pour ce faire, Buzz considère les agents IA comme de « vrais » utilisateurs : chacun dispose de sa propre identité, d’un historique dédié, signe ses propres actions, et peut-être invité ou révoqué individuellement d’un canal ou d’un projet, ce qui doit permettre d’éviter les erreurs ou les problèmes de traçabilité liés à des permissions trop génériques.

Buzz ajoute à cette promesse d’agents « maitrisés » celle d’une architecture open source, compatible avec tous les modèles et auto-hébergée, une logique concurrente de celle de services commerciaux courants de type Slack ou GitHub. Le projet exploite pour ce faire le protocole Nostr et sa logique de relais. « Chaque message, réaction, étape de workflow, approbation de révision et événement Git constitue un événement signé au sein d’un journal unique. Même structure, même modèle d’identité et même piste d’audit, que l’auteur soit une personne ou un processus ».

Architecture technique de Buzz – capture d’écran

Le projet et ses sources (présentés comme en cours de développement et donc non finalisés) sont disponibles sur GitHub, sous licence Apache 2.0, avec une app dès à présent testable sous macOS, Linux ou Windows.

Windows 11 modernise enfin la fenêtre des propriétés d’un fichier

Entre autres problèmes, Windows 11 a beau représenter le système le plus moderne de Microsoft, il traine de vieux boulets esthétiques. Le problème est le même qu’avec Windows 10, même si le travail a continué depuis : des éléments d’interface datent de Windows 2000, voire d’avant, cassant l’homogénéité de l’interface.

L’un des cas les plus emblématiques est la fenêtre de propriétés d’un fichier, à laquelle on accède via le classique clic droit. En plus de ne pas avoir changé depuis très, très longtemps, elle ne tient pas compte du thème actif dans Windows. Elle se présente actuellement comme cela :

Mais phantomofearth, bien connu des réseaux sociaux pour ses trouvailles dans Windows, a révélé le 21 juillet sur Bluesky qu’une transformation se profile : la fenêtre des propriétés est modernisée. Pour l’instant, elle n’apparait que dans le contexte de la Corbeille, mais il s’agit bien d’une nouvelle fenêtre créée avec WinUI, d’où l’apparence cohérente avec le reste du système et le support du thème sombre. La disposition des éléments est strictement la même qu’actuellement, avec l’avantage de ne pas casser les habitudes.

Source : phantomofearth

Cette modification est présente dans la dernière préversion du système (26300.8935, branche expérimentale). Microsoft ne l’aborde pas encore dans un billet, mais ce n’est probablement qu’une question de temps. Il n’y a pas non plus de raison que ce changement reste cantonné à la Corbeille dans les prochaines préversions.

Rappelons que Microsoft travaille sur son initiative « K2 » visant à redorer le blason d’un Windows 11 qui n’a jamais provoqué l’enthousiasme. L’éditeur a mis en avant un travail sur les performances, l’arrivée d’applications natives, le recul de l’IA ou encore une plus grande personnalisation de l’interface. Une bonne partie de ces changements devrait se refléter dans la mise à jour 26H2.