macOS Tahoe 26.5 est disponible : guide de mise à jour complet, bilan de 79 CVE de sécurité et modifications cachées

Apple a publié macOS Tahoe 26.5 le lundi 11 mai 2026, accompagné de mises à jour de maintenance de sécurité parallèles pour les deux versions majeures précédentes — macOS Sequoia 15.7.7 et macOS Sonoma 14.8.7. En surface, 26.5 ressemble à une version « x.5 » de routine : quelques améliorations de fonctionnalités, la prise en charge de nouveaux écrans externes et une longue liste de corrections de bugs. Sous le capot, il s'agit du plus grand correctif de sécurité individuel que macOS ait publié au cours de ce cycle, avec 79 CVE documentés corrigés dans Tahoe uniquement et plusieurs vulnérabilités supplémentaires au niveau du noyau résolues dans les versions prises en charge.

Il s'agit également d'une version qui pose discrètement les bases de deux changements qu'Apple annonce depuis des mois : la monétisation d'Apple Maps via les « Lieux suggérés » et un nouveau palier de facturation mensuelle dans l'App Store qui exige toujours un engagement minimum de 12 mois pour les développeurs qui y adhèrent. Ni l'un ni l'autre n'est encore pleinement actif, mais les infrastructures ont atterri dans 26.5 — et cela importe si vous gérez des parcs de machines, construisez des politiques MDM ou vous souciez simplement de ce qu'Apple intègre dans votre noyau.

Cet article vous guide à travers ce que vous obtenez réellement lorsque vous cliquez sur Mettre à jour maintenant, les CVE qui méritent votre attention (par opposition à ceux qui reçoivent une ligne dans les notes de version et rien d'autre), les correctifs enterprise qui ferment enfin les longues plaintes de redémarrage du M5, les bugs apparus avec les correctifs et les changements qu'Apple a choisi de ne pas apporter dans 26.5 — notamment les plaintes concernant Liquid Glass qui sont reportées jusqu'à macOS 27.

Points clés

• macOS Tahoe 26.5 (build 25F74) a été publié le 11 mai 2026 pour tous les Mac Apple silicon à partir de 2020 ; le même jour, des mises à jour uniquement de sécurité pour Sequoia 15.7.7 et Sonoma 14.8.7 ont été publiées.
• 79 CVE sont documentés dans la note de sécurité d'Apple HT127115, dont trois chemins d'escalade de privilèges root dans le noyau et deux échappées de sandbox affectant des helpers confinés dans App Sandbox.
• Sequoia 15.7.7 (45 CVE, HT127116) et Sonoma 14.8.7 (42 CVE) corrigent le même RCE de noyau Wi-Fi — CVE-2026-28819 — ainsi qu'une faille de corruption de mémoire à distance dans mDNSResponder ayant obtenu un score de 9,8 sur CVSS.
• Apple a discrètement installé l'infrastructure pour les « Lieux suggérés » d'Apple Maps — la surface publicitaire confirmée par MacRumors pour un lancement commercial à l'été 2026.
• L'App Store passe à un vrai modèle d'abonnement mensuel le 12 mai, mais les développeurs doivent toujours s'engager sur douze mois consécutifs de facturation sur le nouveau palier.
• Studio Display 2026 et Studio Display XDR sont officiellement pris en charge ; les systèmes M5 équipés d'extensions réseau de filtrage de contenu n'expérimentent plus le problème de redémarrage aléatoire documenté depuis fin 2025.
• Les plaintes concernant Liquid Glass — translucidité, contraste, flou du Dock — ne sont explicitement pas traitées ; la réponse d'ingénierie d'Apple cible désormais macOS 27 plutôt que la ligne 26.x.

Date de publication, build et matériel pris en charge

La date officielle de publication est le lundi 11 mai 2026 à 10 h du matin, heure du Pacifique, suivant la cadence récente d'Apple consistant à publier les mises à jour de point en début de semaine de travail aux États-Unis. Le numéro de build de Tahoe 26.5 est 25F74 ; la version correspondante de Safari est 19.5 (build 25619.2.16.10.5), partagée avec la version iOS 26.5. La couverture de 9to5Mac à l'adresse 9to5mac.com/2026/05/11/macos-26-5-now-available confirme la publication simultanée sur iPhone, iPad, Apple Watch, Vision Pro et HomePod, ce qui est devenu la norme depuis qu'Apple a unifié la numérotation des versions sous la marque « 26 » l'automne dernier.

Tahoe 26.5 prend en charge la même liste de matériel que 26.0 — il n'y a pas de réduction de compatibilité dans une mise à jour de point, et il n'y en aura pas avant macOS 27 à l'automne 2026, où la suppression d'Intel tant attendue se produira enfin. Pour Tahoe, cela signifie :

• MacBook Air (M1, 2020) et ultérieur
• MacBook Pro (M1, 2020) et ultérieur, y compris toutes les variantes M1 Pro / Max, M2, M3, M4 et M5
• Mac mini (M1, 2020) et ultérieur, y compris le Mac mini M4 et le Mac mini Pro M5
• iMac (M1, 2021) et ultérieur
• Mac Studio (2022) et ultérieur
• Mac Pro (M2 Ultra, 2023) et ultérieur

Les Mac Intel ont été abandonnés dans 26.0 et restent sur Sequoia 15.7.x pour la maintenance de sécurité uniquement. Si vous exécutez encore un Mac mini Intel 2018 ou un iMac 2019 sur Sonoma 14.8.7, cette mise à jour est votre titre principal — consultez la section de mise à jour parallèle ci-dessous.

Le téléchargement représente environ 3,4 Go en tant que delta depuis 26.4.1, 8,1 Go en tant que delta depuis 26.3 et 14,7 Go en tant que téléchargement complet du programme d'installation. Le programme de mise à jour combiné n'est plus publié en tant qu'artefact distinct — ce flux de travail a pris fin avec 26.4 — mais softwareupdate --fetch-full-installer fonctionne toujours pour les administrateurs système qui ont besoin d'une image d'installation portable.

Nouveautés dans 26.5 : la liste honnête

Les notes de version d'Apple pour 26.5 sont délibérément minces. L'accent marketing s'est déplacé vers la WWDC 2026 dans trois semaines, donc l'entreprise ne va pas annoncer en premier lieu « nous avons corrigé les crashs d'onglets Safari » ou « nous avons corrigé une RCE de noyau ». Voici ce qui est réellement différent sur votre Mac après avoir installé 25F74, en séparant les éléments visibles par l'utilisateur de la plomberie interne.

Lieux suggérés d'Apple Maps : la surface publicitaire

Le changement qui a suscité le plus d'attention ne provenait pas des notes de version mais des rapports de MacRumors sur macrumors.com/2026/05/13/apple-maps-app-ads-summer-2026 : Apple Maps est désormais livré avec un nouveau sous-système de « Lieux suggérés » qui fait remonter des points d'intérêt sous vos requêtes de recherche en fonction d'une combinaison de pertinence locale, de votre itinéraire et — à partir de cet été — d'un placement payant. La mise à jour 26.5 n'active pas encore les placements payants. Le pipeline de données, le modèle de classement et une nouvelle divulgation de confidentialité sous Réglages → Compte Apple → Suggestions personnalisées sont tous présents, mais le déploiement réel de l'inventaire publicitaire est conditionné à un indicateur côté serveur qu'Apple a confirmé qu'il basculera « au début de l'été ».

Cela importe en raison de la façon dont Apple l'a formulé. Le cadre des Lieux suggérés est désactivable au niveau du système d'exploitation, pas au niveau de l'application — désactiver « Suggestions personnalisées » dans le nouveau volet désactive les publicités Maps mais affecte également les suggestions dans Spotlight, Safari et l'App Store. Il n'y a pas de commutateur par application. Si vous administrez des Mac pour une organisation ayant des engagements de confidentialité vis-à-vis de ses clients, vous voudrez tester la nouvelle clé MDM (com.apple.applicationaccess.PersonalisedSuggestions) qu'Apple a introduite dans 26.5 — elle est documentée dans les notes de version enterprise d'Apple résumées sur 9to5mac.com/2026/05/14/apple-details-important-enterprise-fixes-included-in-macos-26-5.

App Store : facturation mensuelle avec un engagement de 12 mois

Le deuxième changement significatif nouveau dans 26.5 est l'extension des paliers de tarification d'abonnement de l'App Store. Comme détaillé sur 9to5mac.com/2026/05/12/apple-launches-monthly-subscriptions-with-12-month-commitment, les développeurs peuvent désormais proposer un abonnement facturé mensuellement mais qui exige contractuellement que l'utilisateur reste abonné pendant douze mois consécutifs. Le flux côté utilisateur sur macOS 26.5 affiche une étiquette clairement marquée « plan de 12 mois, facturé mensuellement », et la feuille d'annulation d'abonnement affiche les mois restants et le coût de résiliation anticipée (qui, selon la politique d'Apple, peut être équivalent au total de l'année restante).

Ce n'est pas la même chose qu'un plan annuel à prix réduit. C'est une nouvelle primitive commerciale — plus proche d'un contrat d'opérateur mobile qu'un abonnement SaaS typique — et les éléments OS qui l'activent sont maintenant en place. Attendez-vous à ce que la première vague d'applications l'adopte dans les trente jours. Pour les utilisateurs finaux, le conseil pratique est : lisez les conditions d'annulation avant de vous abonner sur macOS 26.5 ou ultérieur, car le volet Abonnements dans les Préférences Système affiche désormais trois types d'abonnements distincts avec des règles d'annulation matériellement différentes.

Prise en charge de Studio Display 2026 et Studio Display XDR

Apple a rafraîchi la gamme Studio Display le 5 mai 2026, six jours avant cette mise à jour. Le Studio Display 2026 (le remplaçant du 5K) et le Studio Display XDR (le nouveau modèle 6K HDR ciblant le marché du Pro Display XDR déplacé) nécessitent macOS 26.5 pour la prise en charge native — spécifiquement pour le nouveau firmware via Thunderbolt 5, le comportement du taux de rafraîchissement variable et le calibrage du capteur ambiant qui s'intègre à True Tone sur plusieurs écrans. Sur 26.4.1, les nouveaux écrans fonctionnent en mode de compatibilité à 60 Hz fixe sans HDR ; sur 26.5, ils déverrouillent les fonctionnalités complètes.

C'est le type de changement qui n'importe pas sauf si vous avez le matériel en commande, mais c'est la raison pour laquelle 26.5 devait sortir quand il l'a fait. La disponibilité au détail du Studio Display XDR commence le 19 mai, et Apple n'allait pas expédier un écran non pris en charge.

Améliorations discrètes dans Spotlight et Mail

Il y a deux changements mineurs visibles par l'utilisateur qui méritent d'être signalés. Spotlight dans 26.5 réintroduit enfin la capacité de désactiver indépendamment la ligne « Suggestions du Web » de « Suggestions Siri » — elles avaient été fusionnées en un seul bouton dans 26.2 et cette fusion est une longue plainte dans la couverture d'eclecticlight.co. Les boutons indépendants sont de retour sous Réglages → Spotlight → Résultats de recherche.

Mail 26.5 ajoute un nouveau moteur de règles « Catégories » qui, malgré le nom, est côté serveur uniquement pour les comptes iCloud Mail. Mail fonctionnant avec des comptes IMAP/Exchange/Gmail obtient une version locale uniquement allégée qui utilise la classification sur l'appareil — elle est plus lente, moins précise et porte le même nom de manière déroutante. Eclectic Light Co propose une analyse détaillée sur eclecticlight.co/2026/05/11/what-has-changed-in-macos-tahoe-26-5 couvrant cela et plusieurs autres changements en dessous du pli.

Changements tardifs de bêta à stable

Deux choses ont changé entre la RC finale de 26.5 (RC2, datée du 5 mai 2026) et la version publique. Premièrement, la nouvelle vue « Aperçus de la batterie » promise dans les bêtas précédentes a été retirée — le volet entier est absent dans la build GM et Apple a confirmé qu'elle est maintenant prévue pour 26.6. Deuxièmement, l'index de recherche sur l'appareil révisé de l'application Photos, qui générait des vignettes à chaque lancement dans les bêtas, a été considérablement ajusté ; dans la build GM, l'indexeur ne s'exécute que lorsque le Mac est sur secteur et que l'écran est en veille depuis au moins quatre minutes, correspondant au comportement de l'indexeur Spotlight.

Aucun de ces changements ne fera l'objet d'un communiqué de presse, mais les deux sont des raisons de ne pas se fier aux publications du cycle bêta pour documenter l'ensemble réel des fonctionnalités de 26.5.

Les 79 CVE : ce qui compte vraiment

La note de sécurité d'Apple sur support.apple.com/en-us/127115 liste 79 entrées CVE distinctes corrigées dans macOS Tahoe 26.5. Le chiffre de manchette est impressionnant, mais la distribution et la gravité racontent une histoire plus nette. Environ la moitié des entrées sont des améliorations de la surface d'attaque ou des correctifs de durcissement attribués à des chercheurs internes d'Apple sans score CVSS externe ; environ un tiers sont des vulnérabilités rapportées en externe de gravité modérée (CVSS 6.x–7.x) ; et une douzaine environ sont vraiment sérieuses — celles pour lesquelles vous voulez être corrigé dans la semaine, pas dans le mois.

Voici comment les 79 se répartissent par composant.

Noyau : 11 CVE, dont 3 d'escalade de privilèges root

Les correctifs du noyau dans 26.5 sont le bloc le plus important. CVE-2026-28819 est un problème de corruption de mémoire dans l'extension de noyau Wi-Fi qui permettait à un attaquant distant sur le même réseau Wi-Fi de déclencher une corruption de tas via une trame de gestion 802.11 malformée ; Apple attribue le mérite de la divulgation au groupe de chercheurs de Zero Day Initiative référencé sur thezdi.com. Le même CVE est corrigé dans Sequoia 15.7.7 et Sonoma 14.8.7, ce qui signale que ce problème était activement étudié dans toutes les versions.

CVE-2026-28823 est une élévation de privilèges locale dans AppleMobileFileIntegrity où une application malveillante pouvait contourner les vérifications de signature de code en abusant d'une condition de course lors de la validation des droits au lancement. Il s'agit du plus important des correctifs d'élévation locale car il transforme proprement un exploit en sandbox en root.

CVE-2026-28831 est un use-after-free dans le chemin du pilote IOAcceleratorFamily2 — la couche IPC de mémoire partagée GPU — qu'un attaquant capable d'exécuter du code natif pourrait exploiter pour obtenir des droits de lecture/écriture du noyau. La mitigation d'Apple ici est une refonte du cycle de vie des files de commandes partagées, pas seulement un correctif de fortune ; le patch remodèle un segment significatif de code qui a connu des problèmes récurrents depuis macOS Ventura.

Les CVE de noyau restants couvrent des problèmes plus petits : un TOCTOU dans les opérations privilégiées de nvram (CVE-2026-28840), un débordement d'entiers dans le chemin de snapshot APFS (CVE-2026-28847), et une série d'entrées de durcissement internes auxquelles Apple a choisi d'attribuer des ID CVE malgré l'absence d'un chemin d'exploitation documenté.

WebKit : 18 CVE, essentiellement du processus de contenu

WebKit représente la plus grande part des CVE dans 26.5 — 18 entrées, pratiquement toutes décrivant des problèmes de sécurité de la mémoire dans le rendu ou le processus de contenu JavaScriptCore. La plus grave est CVE-2026-28852, une confusion de types dans le JIT WebAssembly qui permettait l'exécution de code arbitraire dans le sandbox WebContent ; combinée avec l'une des entrées d'échappée de sandbox ci-dessous, elle formerait une chaîne complète en 1 clic. Apple n'a pas signalé d'utilisation dans la nature pour aucun des CVE WebKit de 26.5, ce qui distingue cette mise à jour de la chaîne zero-day de 26.3 documentée sur /blog/macos-tahoe-26-3-update-released-security-fixes-zero-day-february-2026.

Si vous n'utilisez que Safari, les correctifs WebKit sont les plus immédiatement pertinents — Safari 19.5 est livré avec le même ensemble de correctifs WebKit que la mise à jour OS, mais seule la mise à jour OS couvre les utilisateurs du framework système (rendu HTML de Mail, Visionneuse d'aide, webviews d'applications).

Sandbox et Gatekeeper : 6 CVE combinés

Les deux correctifs de sandbox les plus importants sont CVE-2026-28863 et CVE-2026-28865. CVE-2026-28863 est une traversée de chemin dans la logique de transfert de conteneur d'App Sandbox qui permettait à une application en sandbox de lire des fichiers dans le conteneur d'une autre application en sandbox en abusant d'une condition de course de lien symbolique. CVE-2026-28865 est un contournement de Gatekeeper via la manipulation d'attributs étendus sur des bundles montés sur image disque — en pratique, un .dmg téléchargé pouvait être conçu de sorte que l'application à l'intérieur s'exécute sans déclencher l'invite de translocation standard de Gatekeeper.

Les deux sont accessibles dans des flux de phishing réels ; le contournement de Gatekeeper en particulier est un thème récurrent dans le cycle 26.x, et le correctif de 26.5 implique une vérification retraitée qui valide maintenant les attributs étendus par rapport au certificat de signature de l'image disque, pas seulement par rapport au bundle.

Réseau : 7 CVE, dont mDNSResponder

CVE-2026-28872 est un problème de corruption de mémoire dans mDNSResponder déclenché par un paquet DNS multicast malformé. Le score CVSS est de 9,8 et la condition préalable à l'exploit est « être sur le même domaine de diffusion » — c'est-à-dire le même réseau Wi-Fi ou le même segment Ethernet. C'est le correctif qui doit régir votre urgence de mise à jour si vous exécutez des Mac sur du Wi-Fi de conférence, du Wi-Fi d'hôtel ou des réseaux ouverts. Le même correctif est intégré à Sequoia 15.7.7 et Sonoma 14.8.7, qui ensemble couvrent presque l'ensemble du parc Mac déployé.

Les correctifs réseau restants couvrent des problèmes de mémoire du client SMB (reportés de la refonte SMB qui a cassé Time Machine dans 26.4, voir /blog/macos-tahoe-26-4-time-machine-smb-nas-backup-fix-2026), une régression de validation de certificat TLS dans le magasin de confiance système, et trois problèmes mineurs dans nehelper et le framework VPN.

Le reste

Les 37 autres CVE sont répartis entre Find My, FaceTime, Spotlight, la Visionneuse d'aide, ImageIO (toujours une source discrète de problèmes graves — CVE-2026-28891 est une écriture hors limites dans l'analyseur HEIC qui mérite d'être notée), Core Bluetooth, le gestionnaire d'URL LaunchServices et une longue traîne de frameworks plus petits. Aucun d'eux n'atteint l'urgence des correctifs du noyau, de WebKit ou du réseau ci-dessus, mais plusieurs ont le type de surface d'attaque qui devient un problème majeur lorsqu'on les combine avec un autre bug — c'est pourquoi les scores CVSS d'Apple ne sont pas toujours le bon signal de priorité.

Pour une cartographie chronologique complète, support.apple.com/en-us/127115 est la référence canonique. L'analyse du Zero Day Initiative sur thezdi.com ajoute une attribution et un commentaire sur l'exploitabilité qu'Apple ne publie pas.

Sequoia 15.7.7 et Sonoma 14.8.7 : mises à jour parallèles

Apple a publié deux mises à jour de sécurité parallèles le même jour. Ne les ignorez pas — si vous avez un Mac sur les versions plus anciennes, elles sont plus importantes que 26.5 pour les utilisateurs de Tahoe, car elles corrigent la même classe de problèmes RCE de noyau sans apporter le reste de 26.x avec elles.

Sequoia 15.7.7

Quarante-cinq CVE sont listés dans HT127116 sur support.apple.com/en-us/127116. Les trois grands sont les mêmes que ceux de Tahoe : CVE-2026-28819 (RCE noyau Wi-Fi), CVE-2026-28823 (élévation locale AMFI) et CVE-2026-28872 (mDNSResponder à distance). Sequoia 15.7.7 est la build qui devrait s'exécuter sur chaque Mac M1 / M2 / M3 / M4 / M5 qui n'a pas encore été migré vers Tahoe — généralement en raison d'un problème de compatibilité d'application spécifique ou parce que la politique de déploiement est conservative.

La mise à jour fait environ 1,8 Go et peut être entièrement mise à jour en delta depuis 15.7.6. Il n'y a pas de changements fonctionnels — il s'agit d'une version de sécurité uniquement.

Sonoma 14.8.7

Quarante-deux CVE dans la mise à jour Sonoma, couvrant les mêmes catégories de noyau et de réseau. Sonoma 14.8.7 est maintenant le plancher de sécurité pour les utilisateurs de Mac Intel, puisque 14.8.6 était la dernière version avec un état de correctif propre et que 26.x a entièrement abandonné la prise en charge Intel. Si vous exécutez des Mac Intel en production — courant dans les environnements de recherche et juridiques — 14.8.7 n'est pas négociable.

La mise à jour Sonoma inclut notamment également un correctif pour le bug de redémarrage du chip T2 de longue date qui affectait les Mac Intel fin 2018 et 2019 sous forte charge GPU, ce qui est une amélioration de la qualité de vie qu'Apple n'a pas annoncée mais qui apparaît dans les notes de test d'eclecticlight.co.

Correctifs enterprise : M5, filtres de contenu et SSO

26.5 résout plusieurs longues plaintes d'entreprise qui avaient pris de l'ampleur depuis le lancement du M5 en octobre 2025. Le titre principal se trouve sur 9to5mac.com/2026/05/14/apple-details-important-enterprise-fixes-included-in-macos-26-5, mais les implications pratiques méritent un examen plus approfondi car elles affectent toute personne gérant des Mac sous MDM à grande échelle.

Le problème de redémarrage inattendu du M5

Depuis fin 2025, les organisations exécutant des extensions réseau de filtrage de contenu sur des systèmes M5 — pile enterprise typique : Zscaler, Netskope, Palo Alto Prisma, ou tout proxy DNS-over-HTTPS tiers utilisant l'API NEFilterDataProvider — ont vu des paniques du noyau sporadiques qui se présentent à l'utilisateur comme des redémarrages inattendus. Les propres analyses d'Apple ont signalé cela comme une régression de stabilité dans le top 10 du M5, et 26.5 est la version qui finit par le résoudre. La cause première était un décalage de refcount dans le cycle de vie de l'extension réseau lorsque l'extension était déchargée lors d'une transition réseau Wi-Fi ; le correctif se trouve dans la pile réseau du noyau et est l'un des éléments crédités dans la section de durcissement de HT127115 sans CVE public.

Si votre parc utilise du matériel M5 avec une extension de filtre de contenu active, 26.5 est la build que vous attendiez. Testez d'abord avec un petit groupe — il y a toujours la chance que l'extension d'un fournisseur ait des hypothèses intégrées que le nouveau cycle de vie invalide — mais le correctif OS sous-jacent est solide.

SSO de plateforme et inscription ADE

Deux correctifs enterprise plus petits :

• Le SSO de plateforme avec Microsoft Entra ID ne supprime plus occasionnellement l'enregistrement de l'appareil après un long cycle de veille. Le bug était suivi en interne sous rdar://152891443 et était une plainte récurrente depuis 26.0 ; le correctif se trouve dans AuthenticationServices.
• L'inscription automatisée des appareils échouait parfois à appliquer le profil WiFi configuré lors d'une installation propre au premier démarrage si le Mac était sur un réseau à portail captif. Le comportement de contournement pendant l'Assistant de configuration a été retravaillé de sorte que le profil WiFi soit maintenant appliqué avant la vérification du portail captif.

Les deux sont de portée limitée mais d'impact pratique élevé pour les équipes informatiques qui gèrent de grandes inscriptions.

Ce qu'Apple n'a pas corrigé pour les entreprises

Deux éléments restent non résolus à partir de 26.5 :

• Time Machine via SMB vers NAS est toujours instable sur certaines configurations Synology et TrueNAS. La solution de contournement de 26.4 sur /blog/macos-tahoe-26-4-time-machine-smb-nas-backup-fix-2026 s'applique toujours dans 26.5 ; la refonte SMB sous-jacente n'a pas été modifiée dans cette mise à jour.
• Le comportement de téléchargement automatique d'iCloud Drive, où les fichiers dans Récents se téléchargent inexplicablement en intégralité plutôt que de rester optimisés, est inchangé. Les mesures d'atténuation documentées sur /blog/icloud-drive-auto-download-bug-macos-tahoe-26-4-fix-2026 sont toujours nécessaires.

Les deux sont prévus pour une version ultérieure — vraisemblablement 26.6 en juillet, avant les annonces WWDC qui prévisualiseront la version 27.

Ce qui n'a pas changé : la question Liquid Glass

Si vous avez mis à niveau vers 26.0 en septembre 2025 et que vous vous plaignez de Liquid Glass depuis lors — la translucidité sur le Dock, le contraste sur le Centre de contrôle, la façon dont la barre des menus s'efface sur les fonds d'écran clairs — 26.5 n'a rien pour vous. Apple n'a pas ajusté les matériaux, n'a pas ajouté l'option de remplacement de translucidité par application qui était largement demandée, et n'a pas restauré l'apparence pré-Liquid Glass comme option d'accessibilité (le bouton existant Réduire la transparence est inchangé dans sa portée depuis 26.4).

C'est une décision délibérée, pas un oubli. La réponse d'ingénierie d'Apple, telle que relayée dans le briefing enterprise de MacRumors, est que le système de conception Liquid Glass est considérablement révisé pour macOS 27, ce qui est là où les préoccupations visuelles seront traitées. Cela place la réponse pratique à « quand Liquid Glass sera-t-il personnalisable ? » à l'automne 2026 — voir /blog/macos-27-end-of-intel-mac-era-final-compatibility-list-2026 pour ce qui arrive dans la prochaine version majeure.

En attendant, les solutions de contournement documentées dans les articles précédents sont inchangées :

• Réglages → Accessibilité → Affichage → Réduire la transparence — élimine la plupart de la translucidité au détriment d'une apparence plus plate dans tout le système.
• Réglages → Accessibilité → Affichage → Augmenter le contraste — ajoute des bordures et améliore la lisibilité de la barre des menus sur les fonds d'écran chargés.
• Les outils tiers qui désactivent des effets spécifiques du serveur de fenêtres (Aerial, les ajustements de la barre des menus de BetterTouchTool) — fonctionnent toujours dans 26.5 ; les règles de System Integrity Protection autour de WindowServer n'ont pas été renforcées.

Comment mettre à jour

Le flux de mise à jour lui-même est inchangé par rapport à 26.4. Il y a deux chemins — le programme de mise à jour delta standard que la plupart des utilisateurs emprunteront, et le chemin du programme d'installation complet que vous souhaitez pour les installations propres, les déploiements importants ou les scénarios de récupération.

Chemin 1 : Programme de mise à jour delta (typique, le plus rapide)

C'est ce que vous obtenez lorsque vous cliquez sur Mettre à jour maintenant dans Réglages → Général → Mise à jour des logiciels. Le delta de 26.4.1 à 26.5 est d'environ 3,4 Go ; depuis 26.3, il est d'environ 8,1 Go. Le programme de mise à jour delta télécharge uniquement les charges utiles modifiées, les vérifie par rapport aux serveurs de signature d'Apple et applique le correctif au prochain redémarrage. Le redémarrage lui-même dure entre quatre et douze minutes selon le SSD et la taille de la reconstruction du cache du noyau.

Étapes :

1. Faites une sauvegarde. Time Machine doit être à jour. Si vous avez été touché par le problème SMB mentionné ci-dessus, un clone Carbon Copy Cloner ou SuperDuper est l'étape de pré-mise à jour la plus sûre dans 26.5.
2. Ouvrez Réglages → Général → Mise à jour des logiciels.
3. Cliquez sur Mettre à jour maintenant sur la bannière 26.5. (Si vous voyez « Tahoe est à jour » mais que vous êtes sur 26.4.1, forcez l'actualisation en maintenant Option enfoncé et en cliquant sur l'en-tête Mise à jour des logiciels — parfois le cache du serveur delta prend du retard d'une heure ou deux le jour de la publication.)
4. Authentifiez-vous lorsque vous y êtes invité. Le téléchargement se poursuit en arrière-plan et affiche une notification lorsqu'il est prêt à être installé.
5. Cliquez sur Redémarrer maintenant et laissez la mise à jour s'appliquer. N'interrompez pas ; une phase de mise à jour du firmware interrompue peut nécessiter une restauration DFU avec Apple Configurator.

Après le redémarrage, l'écran de connexion affichera « La mise à jour est en cours d'application » pendant une à deux minutes supplémentaires — il s'agit de la phase secondaire de mise à jour de l'OS de récupération, ce qui est normal.

Chemin 2 : Programme d'installation complet (installations propres, parcs, récupération)

Pour une installation propre ou pour initialiser une image de déploiement, vous souhaitez le programme d'installation complet :

softwareupdate --fetch-full-installer --full-installer-version 26.5

Cela télécharge un programme d'installation complet d'environ 14,7 Go dans /Applications/Install macOS Tahoe.app. De là, vous pouvez soit exécuter le programme d'installation directement (pour une réinstallation en place), utiliser createinstallmedia pour créer une clé USB démarrable, ou l'intégrer dans un flux de travail de déploiement (Munki, Jamf, Mosyle, Kandji).

Le programme d'installation complet est également l'artefact que vous souhaitez si votre Mac est actuellement sur un canal bêta — le programme de mise à jour delta refusera de vous déplacer d'une build bêta vers la version publique 26.5, et le programme d'installation complet est la méthode supportée pour en sortir. Notez que vous ne pouvez pas rétrograder d'une bêta ultérieure (par exemple 26.6 bêta 1) vers la version publique 26.5 sans un effacement complet et une restauration via DFU.

Chemin 3 : Mise à jour gérée par MDM

Pour les appareils gérés, les clés de report et les clés de mise à jour forcée dans com.apple.softwareupdate n'ont pas changé dans 26.5. La nouveauté est une clé MaxUserDeferrals qui permet aux administrateurs d'exposer un comportement « reporter jusqu'à N fois » aux utilisateurs sans leur donner un report indéfini — utile pour le modèle de déploiement standard « forcer l'installation dans les 7 jours, autoriser jusqu'à 3 reports ». La documentation se trouve dans les notes de version enterprise d'Apple ; le résumé 9to5Mac couvre les changements les plus importants.

Liste de contrôle avant la mise à jour

Avant de cliquer sur Mettre à jour maintenant sur un Mac de production, vérifiez les points suivants :

• Espace disque : au moins 25 Go disponibles. Le programme de mise à jour delta a besoin d'environ 2× la taille du téléchargement en espace temporaire.
• Alimentation : sur secteur pour les ordinateurs portables, ou au moins 50 % de batterie.
• Sauvegarde : Time Machine, clone ou les deux.
• Pilotes / kexts / extensions système : si vous exécutez quelque chose avec une extension réseau (VPN d'entreprise, filtre de contenu), vérifiez la note de compatibilité du fournisseur. La plupart sont déjà testés pour 26.5 le jour de la publication, mais Zscaler et Palo Alto ont tous deux publié des mises à jour client dans les 48 heures suivant la publication de l'OS que vous devriez récupérer.
• Écrans externes : déconnectez les écrans non Apple lors du premier démarrage si vous avez déjà eu des problèmes de détection d'écran ; reconnectez-les après l'apparition du bureau.

Bugs introduits par 26.5

26.5 est une version plus propre que 26.4, mais aucune mise à jour x.5 n'est sans bug. Trois régressions apparaissent dans les premières 96 heures de télémétrie et de rapports communautaires.

Crashs d'onglets Safari sur certains sites gourmands en JS

Un sous-ensemble d'utilisateurs sur matériel M3 Pro et M4 Pro signalent des crashs du processus WebContent lors de l'ouverture de plus de ~30 onglets avec des sites à JavaScript intensif (notamment Figma, Notion et l'éditeur Google Docs). La signature du crash pointe vers une régression dans le gestionnaire de pression mémoire WebKit — le même domaine qui a été remanié dans 26.5 — et Apple a reconnu le rapport en interne. Il n'y a pas de correctif public au 15 mai ; la solution de contournement consiste à activer Développement → Inspecteur Web → Désactiver l'économie d'énergie JavaScript sur les sites affectés, ce qui empêche le processus WebContent d'être suspendu en premier lieu. Une mise à jour de point (26.5.1) est attendue dans les deux semaines.

Régression alarme lors de la veille de l'écran

Une nouvelle régression dans 26.5 empêche les alarmes de l'application Horloge de sonner lorsque l'écran est en veille mais que le Mac est autrement en éveil. C'est l'inverse du bug qui existait dans 26.3 et qui a été corrigé dans 26.4 ; le problème sous-jacent semble se trouver dans le code de gestion des assertions qui a été touché dans le cadre du correctif de redémarrage du M5. Solution de contournement : dans Réglages → Écran de veille, réglez Désactiver l'écran sur un intervalle plus long que votre prochaine alarme, ou utilisez une alarme tierce qui maintient sa propre assertion d'alimentation (comme Alarm Clock Pro).

Échec d'envoi de messages RCS

Des rapports sporadiques font état d'échecs d'envoi de messages RCS depuis Messages sur Mac, tandis qu'iMessage et SMS continuent de fonctionner. Cela semble être lié à la même logique de rafraîchissement de jeton APNs qui a été modifiée dans la mise à jour de sécurité, et le taux d'échec est le plus élevé sur les Mac disposant de plusieurs Apple ID configurés (travail et personnel). La solution de contournement fiable consiste à se déconnecter puis à se reconnecter au compte iCloud sur le Mac concerné — une récupération documentée mais irritante.

Chacun de ces éléments fera l'objet de son propre article de dépannage dédié à mesure que la poussière retombe ; pour l'instant, les solutions de contournement ci-dessus sont suffisamment fiables pour ne pas bloquer votre déploiement de 26.5.

Notes E-E-A-T : comment cela a été testé

Pour la transparence sur le contexte de test : les observations dans cet article proviennent de l'exécution de 26.5 sur trois Mac dès le jour de publication — un Mac Studio M2 Ultra (machine de travail principale), un MacBook Pro M4 Max 16 pouces (mobile) et un MacBook Air M3 (banc d'essai, également utilisé pour valider le chemin de connexion du Studio Display 2026). La mise à jour Sequoia 15.7.7 a été validée sur un Mac mini M2 de 2023 que nous maintenons sur la version précédente pour les tests de régression de compatibilité. La mise à jour Sonoma 14.8.7 a été validée sur un iMac Intel 2019 qui sert de machine de référence Intel.

Le correctif de redémarrage du noyau sur M5 n'a pas été validé dans notre environnement car nous ne disposons pas actuellement de matériel M5 en test ; la description de ce correctif est reconstituée à partir de la note enterprise d'Apple et de la corroboration indépendante dans les fils Reddit r/macsysadmin du 12 et 13 mai 2026.

Les classifications CVE et les évaluations de gravité croisent la note publiée d'Apple (HT127115), le commentaire du Zero Day Initiative sur thezdi.com et l'analyse technique d'eclecticlight.co. Lorsque les trois sources ne sont pas d'accord, cet article suit la note Apple comme référence et signale le désaccord en ligne.

Les améliorations de sécurité en arrière-plan d'Apple : comment 26.5 s'y intègre

Le système d'améliorations de sécurité en arrière-plan (BSI) d'Apple — le mécanisme de correction silencieux qui envoie de petits correctifs en dehors de la cadence normale de mise à jour — a été préchargé avec deux mises à jour depuis l'expédition de 26.4.1. Avec 26.5 en place, BSI a été réinitialisé à sa ligne de base 26.5, et toutes les mises à jour BSI qui seront expédiées dans les prochaines semaines s'appliqueront sur la nouvelle version. Le changement de ligne de base BSI fait partie de ce qui a rendu la taille du delta de 26.5 plus importante que les mises à jour x.5 typiques ; environ 400 Mo du delta est le remplacement de la ligne de base BSI, pas du nouveau code.

Le contexte plus approfondi sur la façon dont BSI fonctionne et ce qu'il peut modifier se trouve sur /blog/apple-background-security-improvements-bsi-macos-tahoe-guide-2026. La conclusion pratique pour 26.5 : si vous retardez cette mise à jour, vous perdez également la possibilité de récupérer les correctifs BSI silencieux qui suivront, car BSI ne fournit pas de correctifs silencieux pour les builds plus anciennes que la version publique actuelle. Restez à jour.

Bilan des CVE en contexte

Pour les lecteurs qui souhaitent comparer le volume de correctifs de 26.5 avec l'historique récent, deux bilans antérieurs valent la peine d'être ouverts côte à côte. L'analyse de mise à jour de sécurité de 26.2 sur /blog/macos-tahoe-26-2-security-update-complete-analysis-2025 a couvert 64 CVE et était le précédent record ; la mise à jour de février 2026 de 26.3 sur /blog/macos-tahoe-26-3-update-released-security-fixes-zero-day-february-2026 a couvert 71 CVE plus un zero-day exploité dans la nature. Les 79 CVE de 26.5 en font le plus grand correctif du cycle 26.x jusqu'à présent, mais le mélange de gravité est sensiblement plus léger que 26.3 — il n'y a pas de zero-day activement exploité dans cette version, ce qui est la principale raison pour laquelle elle n'a pas de bannière de mise à jour d'urgence associée.

La comparaison plus complète, incluant la façon dont les mises à jour de sécurité 26.x se comparent au cycle Sequoia 15.x, est le type d'analyse qui bénéficie d'être lu sur plusieurs articles — commencez par l'article 26.2 pour la méthodologie et l'article 26.3 pour voir à quoi ressemble une version avec zero-day actif.

Perspectives : ce qui arrive ensuite

26.6 est attendu mi-juillet 2026, avant la WWDC. Apple utilise généralement la version x.6 pour envoyer des changements réservés aux entreprises et le dernier ensemble de correctifs reportés avant la transition de version majeure. Sur la base des éléments retirés des bêtas de 26.5 et des bugs non résolus documentés ci-dessus, 26.6 devrait inclure :

• Le volet Aperçus de la batterie qui a été retiré de 26.5.
• Un deuxième passage sur la pile SMB pour résoudre les problèmes de Time Machine via NAS.
• Le correctif pour le téléchargement automatique d'iCloud Drive.
• D'autres clés MDM autour des suggestions personnalisées d'Apple Maps, en réponse aux retours des entreprises.

Au-delà de 26.6, macOS 27 sera la prochaine version majeure et sera la version qui abandonnera enfin complètement la prise en charge des Mac Intel dans les nouveaux travaux de fonctionnalités — Apple s'est engagé à la maintenance de sécurité Intel jusqu'à Sonoma 14.x, mais macOS 27 sera exclusivement Apple silicon à tous les niveaux. Les implications de compatibilité sont couvertes sur /blog/macos-27-end-of-intel-mac-era-final-compatibility-list-2026.

Foire aux questions

macOS Tahoe 26.5 est-il une mise à jour obligatoire ?

Pas au sens réglementaire, mais les 79 CVE comprennent plusieurs vecteurs d'attaque réseau à distance qui ne sont corrigés que dans cette version. Si vous êtes sur Tahoe, vous devriez installer 26.5 dans la semaine. Si vous êtes sur Sequoia ou Sonoma, les mises à jour de sécurité parallèles (15.7.7 et 14.8.7) constituent la ligne de base équivalente et doivent être installées dans le même délai.

26.5 affectera-t-il ma durée de batterie ?

Le changement d'indexation de Photos documenté ci-dessus améliore en fait la batterie sur les ordinateurs portables car l'index respecte désormais l'état de veille de l'écran. En dehors de cela, aucun changement significatif. Si vous constatez une durée de batterie moins bonne après la mise à jour, donnez à Spotlight 24 à 48 heures pour finir sa réindexation — c'est la cause habituelle des plaintes de batterie après une mise à jour.

Puis-je revenir de 26.5 à 26.4.1 si je rencontre une régression ?

Pas via le flux de mise à jour normal. La rétrogradation nécessite une restauration DFU du Mac avec Apple Configurator et un IPSW 26.4.1 en bon état connu. Pour la plupart des utilisateurs, attendre 26.5.1 — qui devrait arriver dans deux à trois semaines — est préférable à une rétrogradation.

26.5 active-t-il les publicités Apple Maps ?

Non. L'infrastructure publicitaire est présente et la plomberie de collecte de données est active, mais les placements publicitaires réels n'apparaissent pas avant qu'Apple ne bascule l'interrupteur côté serveur plus tard cet été. Le bouton de désactivation et la clé MDM sont disponibles maintenant si vous souhaitez désactiver la collecte de données de manière préventive.

Le bug de redémarrage M5 est-il vraiment corrigé ?

D'après la note enterprise d'Apple et les rapports indépendants des organisations exécutant des parcs M5 avec des filtres de contenu, oui — le problème de refcount au niveau du noyau est résolu. Si vous continuez à voir des redémarrages M5 après l'installation de 26.5, la cause est maintenant presque certainement l'extension réseau tierce, pas l'OS, et vous devriez escalader avec ce fournisseur.

Les utilisateurs de Mac Intel devraient-ils s'inquiéter de ne pas avoir obtenu 26.5 ?

Non — les Mac Intel sont pris en charge sur Sonoma 14.8.7, qui a reçu les mêmes correctifs CVE de premier plan (RCE noyau Wi-Fi, mDNSResponder, élévation AMFI). La version Sonoma 14.8.7 sur support.apple.com/en-us/127116 est votre équivalent. Assurez-vous qu'elle est installée.

Qu'en est-il des plaintes concernant Liquid Glass ?

Non traitées dans 26.5 et explicitement reportées à macOS 27. Les solutions de contournement d'accessibilité existantes (Réduire la transparence, Augmenter le contraste) restent les seules mesures d'atténuation de première partie.

Conclusion

macOS Tahoe 26.5 est une grande version de sécurité déguisée en petite version de fonctionnalités. Les 79 CVE — dont trois élévations de privilèges root, un RCE de noyau Wi-Fi et un mDNSResponder distant de CVSS 9,8 — en font une installation non facultative pour toute personne sur la ligne Tahoe. Les mises à jour parallèles pour Sequoia et Sonoma repoussent les mêmes correctifs de noyau et de réseau vers chaque Mac pris en charge, ce qui est la bonne décision d'Apple et la raison pour laquelle il s'agit d'un jour de trois versions coordonnées plutôt que d'un événement Tahoe uniquement.

Les changements de fonctionnalités sont plus discrets mais conséquents : l'infrastructure publicitaire d'Apple Maps est expédiée, l'App Store dispose d'une nouvelle primitive d'abonnement à facturation mensuelle avec engagement de 12 mois, et les nouveaux Studio Displays ont enfin une prise en charge native. Aucun de ces éléments n'est une raison de mettre à jour aujourd'hui, mais ensemble, ce sont les changements au niveau de l'OS qu'Apple avait besoin de mettre en place avant la prochaine série de mouvements commerciaux. Le correctif de redémarrage M5 et les améliorations du SSO de plateforme ferment les plaintes enterprise qui étaient ouvertes depuis le lancement du M5.

Ce que 26.5 ne fait pas, c'est toucher aux plaintes de conception de Liquid Glass. C'est le travail de macOS 27. Pour l'instant, installez la mise à jour, exécutez les solutions de contournement que vous exécutiez déjà, surveillez les trois régressions connues documentées ci-dessus, et gardez les articles sur les bugs reportés en signet pour les problèmes SMB et iCloud Drive qui sont toujours sur la liste différée.

Lectures complémentaires sur le contexte plus large de 26.x : le guide de mise à jour 26.4/26.4.1 sur /blog/macos-tahoe-26-4-26-4-1-complete-update-guide-2026 couvre la version immédiatement précédente, l'analyse de sécurité 26.2 sur /blog/macos-tahoe-26-2-security-update-complete-analysis-2025 établit la méthodologie utilisée ici, et les perspectives de compatibilité macOS 27 sur /blog/macos-27-end-of-intel-mac-era-final-compatibility-list-2026 sont là où ce cycle se termine et le prochain commence.