Apple encourage les chercheurs en sécurité à détecter et à signaler les vulnérabilités de ses appareils et applications. En retour, la société propose des primes allant jusqu’à 2 millions d’euros.
Cependant, un chercheur qui a signalé une vulnérabilité critique dans Safari, notée 9,8 sur 10, n’a reçu que 1 000€ en prime.
Depuis la mise à jour de son programme de primes en 2022, Apple avait annoncé que le montant moyen versé s’élevait à 40 000€, citant plusieurs cas de paiements à six chiffres pour des problèmes à fort impact. Un exemple frappant étant un paiement de 175 000€ à un étudiant ayant réussi à pirater la caméra d’un Mac et d’un iPhone.
Un chercheur, connu sous le nom de RenwaX23 sur X, a publié des détails sur une vulnérabilité UXSS (Universal Cross-Site Scripting) qu’il a découverte dans Safari, ce qui permet à un attaquant de se faire passer pour un utilisateur et d’accéder à ses données. Il a démontré que cette faille pouvait être exploitée pour accéder à iCloud et à l’application caméra sur iOS.
Notée comme critique, cette vulnérabilité, répertoriée sous CVE-2025-30466, a été corrigée dans la mise à jour de Safari 18.4, livrée avec iOS/iPadOS 18.4 et macOS 15.4 en mars dernier. Pourtant, RenwaX23 n’a touché qu’une modeste prime de 1 000€ pour cette découverte.
Une explication possible à ce faible montant est que l’attaque nécessitait une interaction de l’utilisateur, un critère pris en compte par Apple pour déterminer les paiements. D’autres chercheurs ont également signalé des primes bien inférieures à ce qui était attendu, comme une vulnérabilité qui aurait dû rapporter 50 000€, mais n’a valu que 5 000€.
Il est possible qu’Apple ait jugé la véritable risque d’exploitation moins élevé qu’annoncé, mais l’écart entre la gravité de la faille et le montant versé semble considérable. Des paiements aussi bas pourraient inciter certains chercheurs à vendre leurs découvertes sur le marché noir plutôt que de les signaler à Apple, où les primes pour les vulnérabilités critiques peuvent atteindre 5 millions d’euros selon les entreprises.
