WebGPU : un shader gèle n'importe quel Mac
Original : The Deathray: A simple way for an untrusted site to freeze a Mac
Pourquoi c'est important
Une simple visite de page peut forcer le redémarrage de tout Mac moderne, sans privilèges.
Un chercheur a démontré qu'un simple shader WebGPU intégré dans une page web peut rendre tout Mac sous macOS inutilisable jusqu'au redémarrage forcé. La faille, baptisée « Deathray », se reproduit sur Chrome, Firefox et Safari, mais pas sur Windows ou Linux.
Un chercheur publiant sous le pseudonyme Auberon a mis en ligne le 10 septembre 2026 une démonstration baptisée « Deathray » : une seule page HTML exploitant l'API WebGPU pour soumettre au GPU un shader contenant une boucle infinie. Le compute shader copie indéfiniment un vecteur dans un buffer ; le vertex shader dépend de ce même buffer, ce qui le bloque. L'engorgement se propage au processus système WindowServer d'Apple, rendant l'interface graphique inerte. Le Watchdog d'Apple finit par détecter l'absence de réponse du WindowServer et déclenche un kernel panic, forçant le redémarrage. L'auteur précise que la machine reste joignable en SSH pendant la crise — seul l'affichage est paralysé. La vulnérabilité se reproduit sur tous les Mac M-series testés sous macOS Tahoe, quelle que soit le navigateur. Sur les autres OS, l'onglet gèle mais se ferme sans dommage. Ce n'est pas la première fois : en 2023, Ron Masas d'Imperva avait signalé ShadyShader, un vecteur similaire via WebGL, corrigé par Apple sous CVE-2023-40441 (CVSS 6.5). La mitigation alors appliquée — meilleure validation des boucles — s'avère insuffisante pour WebGPU. Le chercheur souligne qu'aucun correctif définitif n'est possible sans préemption robuste des shaders non réactifs, car détecter les boucles infinies est un problème indécidable.