Auberon López vient de publier sur son blog une page web un peu particulière : elle peut faire planter en boucle un Mac Apple Silicon, qu'elle soit ouverte dans Safari1, Chrome (et ses dérivés basés sur Chromium) ou Firefox. Basée sur WebGPU, elle a été signalée à Apple, qui a répondu que ce n'était pas un problème de sécurité. Expliquons.
- - - - NE CLIQUEZ PAS SUR CE LIEN, IL VA PLANTER VOTRE MAC - - - -
Sur le blog de López, donc, il y a un exemple : une roue qui tourne, sur laquelle nous vous conseillons de ne pas cliquer. Si vous le faites, elle va planter le Mac assez rapidement. Dans notre cas, le système ne répond plus, et après quelques dizaines de secondes, il alterne entre fermeture de la session et redémarrage complet. Et comme macOS tend à rouvrir les apps, le problème tourne en boucle. La solution existe heureusement : si vous gardez la touche shift (majuscule) enfoncée juste après avoir tapé votre mot de passe, le navigateur ne devrait pas rouvrir la page.
Un problème de WebGPU
Le problème est très simple, et l'implémentation dans une page HTML courte. Elle consiste à exécuter un programme dans un shader, c'est-à-dire un programme exécuté par le GPU. En utilisant une boucle qui copie les mêmes données au même endroit en permanence, le programme ne se termine jamais et monopolise WindowServer, le processus de macOS qui s'occupe de l'affichage. Et après un certain temps sans réaction, macOS tend à forcer l'arrêt de WindowServer, ce qui — dans le meilleur des cas — ferme la session. Mais comme macOS va probablement rouvrir la page à l'ouverture de la session, tout va recommencer. Il est en théorie possible de prendre la main à distance (par exemple en SSH) avant le redémarrage, mais vous n'aurez probablement pas le temps de le faire.
Une des raisons de ce comportement vient visiblement de la façon dont Apple gère les erreurs. Sur les Mac Apple Silicon, une partie du travail est prise en charge par l'ASC, qui fait partie du GPU lui-même. Dans le cas de macOS, donc, un blocage va amener la fermeture de WindowServer, sans s'occuper du shader lui-même.. Sous Windows, le mécanisme de protection va plutôt supprimer le code du shader en cours d'exécution, beaucoup plus rapidement (deux secondes selon Microsoft), ce qui ne va pas bloquer tout le système.
López indique avoir prévenu Apple le 27 juillet 2026. La société a répondu que le souci avait été reproduit, avant d'indiquer le 26 août que le problème n'était pas un souci de sécurité et qu'il allait être assigné à une autre équipe, pour une correction éventuelle, et visiblement en bas de la pile. Dixit d'autres chercheurs en sécurité, la réponse d'Apple est logique : un plantage de ce type n'est pas stricto sensu un problème de sécurité… même si c'est un problème dans l'absolu. Et nous le répétons, si vous êtes touchés, la solution la plus simple est presser shift au redémarrage. Vous perdrez les éventuels onglets ouverts, mais vous récupérez l'accès au Mac.
-
Nous avons testé avec Safari. Ne le faites pas. ↩︎
Source :
