---
title: "Un câble Apple coupé, une carte à 5 $ et une faille iPhone irréparable"
locale: "fr"
url: "https://irz.fr/fr/articles/usbliter8-lightning-pico2-fr"
markdown_url: "https://irz.fr/fr/articles/usbliter8-lightning-pico2-fr.md"
category: "tech"
tags: ["RP2350", "USB", "Apple", "bootrom", "sécurité"]
published_at: "2026-08-25T18:35:00.000Z"
author: "Léa Perrin"
translation: "https://irz.fr/en/articles/usbliter8-lightning-pico2-en.md"
---

# Un câble Apple coupé, une carte à 5 $ et une faille iPhone irréparable

Les forums makers s'échangent des Raspberry Pi Pico 2 soudés à des câbles Lightning Apple. La raison s'appelle usbliter8, un exploit de BootROM qu'Apple ne pourra jamais corriger, et un câblage qui tient sur un bureau.

Depuis la mi-août, les forums makers tournent autour du même objet étrange : un Raspberry Pi Pico 2 avec un câble Lightning Apple coupé et soudé directement sur ses broches. Adafruit a relevé le phénomène le 20 août, des lecteurs demandant pourquoi faire ça.[1](https://blog.adafruit.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/) Le même jour, CNX Software publiait l'email d'un client qui voulait commander une Pico 2 « modifiée » et proposait de venir la chercher sur place, et relayait la réponse du chercheur stacksmashing sur X : « I literally have this on my desk right now » — littéralement sur mon bureau, donc.[2](https://www.cnx-software.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/)

La réponse tient en un nom : usbliter8. Publié le 18 juin 2026 par la société de recherche en sécurité Paradigm Shift après une divulgation coordonnée avec Apple Product Security, c'est un exploit de BootROM pour les puces Apple A12, A13, S4 et S5. Le précédent public le plus proche reste checkm8, l'exploit de 2019 qui avait placé définitivement les puces A5 à A11 hors de portée des correctifs d'Apple.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html) Et pour le lancer, il faut exactement l'objet absurde en question : une carte RP2350 à cinq dollars reliée à un connecteur Lightning.

## Un pointeur à rebours

Le bug loge dans le contrôleur USB Synopsys DWC2 qu'Apple intègre dans ces puces. Le contrôleur garde une petite mémoire annulaire pour les packets USB Setup entrants : trois emplacements, et quand le quatrième arrive, il rembobine son pointeur d'écriture DMA d'un montant fixe de 24 octets. Il tolère aussi des packets plus courts que les 8 octets exigés par la spécification USB, en n'avançant le pointeur que de la taille réellement reçue.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html)

Rembobinage fixe, avance variable. Donnez au contrôleur la bonne séquence de packets sous-dimensionnés et le pointeur d'écriture dérive à rebours dans la mémoire, par pas de 12 octets. C'est un sous-débordement de tampon implémenté dans le matériel, et aucun correctif logiciel n'y touchera jamais : le code vulnérable est gravé dans le silicium à la fabrication.[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html)

Que cette corruption mémoire devienne du code qui s'exécute tient à la configuration du reste de la puce. Sur A12 et A13, SecureROM fait tourner l'USB DART, l'IOMMU du système, en mode bypass : les écritures DMA égarées atteignent alors n'importe quelle zone de SRAM. Le driver A11 réinitialisait l'adresse DMA après chaque packet, voilà pourquoi ces appareils plus anciens sont immunisés ; l'A14 et les générations suivantes configurent le DART correctement.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html) L'A13 a fait travailler les chercheurs : Pointer Authentication scelle les adresses de retour, alors l'exploit corrompt les métadonnées du tas, réécrit un compteur de panique pour que les erreurs bouclent au lieu de redémarrer, cadence ses écritures autour des changements de contexte de la tâche USB, puis remplace le pointeur du gestionnaire d'interruption USB. À l'interruption suivante, du code attaquant tourne dans le BootROM.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)

## Pourquoi un Pico

Les packets malformés au cœur de l'exploit s'éloignent tellement de la spécification USB que le matériel ordinaire refuse de les émettre. Un Mac ne peut pas. Le contrôleur USB du RP2350 lui-même ne peut pas. L'exploit le contourne entièrement : les lignes USB sont branchées sur des broches GPIO, GPIO12 pour D+ et GPIO13 pour D− par défaut, et des machines d'état PIO génèrent le signal directement sur le fil, en s'appuyant sur la bibliothèque Pico-PIO-USB de sekigon-gonnoc.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8)[6](https://blog.elcomsoft.com/2026/07/a12-usbliter8-bootrom-sigpatches/) Elcomsoft, dont la boîte à outils forensique dépend de ce type de point d'entrée, résume la conséquence : usbliter8 exige une implémentation USB sur mesure, point.[6](https://blog.elcomsoft.com/2026/07/a12-usbliter8-bootrom-sigpatches/)

Paradigm Shift a testé quatre cartes : la Waveshare RP2350 USB-A, sa carte de référence, la Waveshare RP2350 Zero, la Pimoroni TINY2350 et le Raspberry Pi Pico 2. Le RP2040 de génération précédente fonctionne en théorie mais reste instable, et l'A13 ne marche pas du tout dessus.[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8) Le README prévient même que l'exploit est sensible au timing parce que le RP2350 exécute le code depuis une flash QSPI externe : une éviction de cache au mauvais moment casse tout.[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8)

## Quatre fils

D'où la recette qui circule sur les forums. Prenez un câble Lightning vers USB-A, coupez la prise USB-A, dénudez les quatre conducteurs et soudez-les à la carte : alimentation et masse sur VBUS et GND, D+ sur GPIO12, D− sur GPIO13. Les couleurs de fils varient selon le fabricant, donc les guides insistent pour vérifier au multimètre avant de sortir le fer. Les câbles USB-C sont explicitement exclus, leur brochage étant différent, et la queue de câble côté Lightning doit rester courte.[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8)

> La recette d'atelier
> **Du câble à l'outil**
> - Supprimer l'extrémité USB-A d'un câble Lightning vers USB-A.: Couper
> - Repérer VBUS, la masse, D+ et D− au multimètre.: Identifier
> - D+ sur GPIO12, D− sur GPIO13, alimentation et masse sur les rails.: Souder
> - Charger le firmware UF2, puis brancher l'appareil en mode DFU.: Flasher

Pourquoi Lightning, justement ? Parce que c'est ce que parlent encore les appareils vulnérables : iPhone XS, XS Max et XR, la famille iPhone 11, l'iPhone SE de deuxième génération, iPad Air 3e génération, iPad mini 5e génération, Apple Watch Series 4 et 5, la première Watch SE, le HomePod mini.[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html) La prise se branche sur le téléphone, les fils nus vont vers le Pico, et un appareil mis en mode DFU se fait exploiter en 0,7 à 1,2 seconde, le temps de graver PWND:[usbliter8] dans son numéro de série USB.[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8)

## Pwné, brièvement

Le butin d'après est volontairement modeste. Le payload officiel sait abaisser le mode production de la puce, ce qui ne survit pas au redémarrage, et démarrer une image iBoot brute sans vérification de signature, l'équivalent matériel d'une porte d'entrée laissée ouverte pour une seule session.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[5](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8) C'est bien plus maigre que la boîte à outils complète lecture/écriture/exécution de checkm8, alors Elcomsoft a publié ses propres patchs A12 pour retrouver des primitives plus riches, créant au passage une deuxième lignée de firmware incompatible avec la première.[6](https://blog.elcomsoft.com/2026/07/a12-usbliter8-bootrom-sigpatches/)

> **Deux exploits, deux époques**
> - Puces A5 à A11. Tourne sur un simple PC.: checkm8 · 2019
> - Puces A12, A13, S4/S5. Exige une carte RP2350 soudée main.: usbliter8 · 2026
> - Durée de l'exploit, appareil branché.: 0,7–1,2 s

Une frontière tient malgré tout : la Secure Enclave, qui garde les codes et les données biométriques, est une puce séparée, et usbliter8 ne la touche pas — même si Paradigm Shift note que le contrôle du BootROM peut ouvrir de nouvelles routes vers elle.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html) Pour tout le monde le risque pratique reste faible : l'attaquant doit avoir l'appareil en main, en mode DFU, branché sur un câble modifié. Au 19 juin, aucune CVE, aucun avis de sécurité Apple, aucune exploitation sauvage signalée publiquement.[4](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html)

## Le mode d'emploi disparu

Puis l'histoire quitte l'atelier. Le 7 juillet, Magnet Forensics, une société d'informatique légale, a poursuivi Paradigm Shift et un ancien contractant, Mario Del Gaudio, devant un tribunal fédéral de Géorgie, alléguant que l'exploit publié détournait des secrets d'affaires d'un projet interne confidentiel sur lequel Del Gaudio travaillait comme ingénieur exploit de novembre 2023 à novembre 2024.[7](https://dockets.justia.com/docket/georgia/gandce/1:2026cv03781/361854) Paradigm Shift maintient que la recherche est indépendante, et rien n'a été prouvé au fond. Cela n'a pas réglé la paperasse : le 21 juillet, la juge Victoria Calvert a rendu une injonction préliminaire, et le 23 juillet le billet et le dépôt GitHub avaient disparu.[8](https://theapplewiki.com/wiki/Usbliter8_Exploit)

L'ordonnance a effacé la documentation originale, pas le savoir. Des forks du code circulent, le billet vit dans les archives web, et la communauté tient sa propre chronologie.[2](https://www.cnx-software.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/)[8](https://theapplewiki.com/wiki/Usbliter8_Exploit) Pendant ce temps, le marché est allé plus vite que les avocats et que les fers à souder : des vendeurs chinois proposent déjà une carte toute faite, la « SUNSHINE RP2354A Pico DFU engineering board », avec connecteurs Lightning et USB-C pour environ 10 $, sans découpe.[2](https://www.cnx-software.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/)

> Illustration: Carte SUNSHINE RP2354A DFU avec deux ports USB-C et un connecteur Lightning. Une carte DFU RP2354A toute faite, avec connecteurs Lightning et USB-C. L'étape de soudure est déjà devenue facultative. Credit: [CNX Software / AliExpress](https://www.cnx-software.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/).

Voilà où finit cette histoire, un peu absurde. Une carte de loisir à cinq dollars et un connecteur qu'Apple a enterré sont devenus la chaîne d'outillage standard pour fouiller le tout premier code qu'exécute un iPhone, et le manuel de référence survit désormais surtout en archives et en forks. Paradigm Shift concluait son billet en écrivant que le BootROM « still occasionally has a surprise left to give » — a encore parfois une surprise en réserve.[3](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html) La surprise lui a survécu. Le billet, il faut aller le dénicher.

## References

1. [Adafruit, Why are people suddenly adding Apple Lightning cables to Raspberry Pi Pico 2 boards ?](https://blog.adafruit.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/)
2. [CNX Software, Why are people suddenly adding Apple Lightning cables to Raspberry Pi Pico 2 boards ?](https://www.cnx-software.com/2026/08/20/why-are-people-suddenly-adding-apple-lightning-cables-to-raspberry-pi-pico-2-boards/)
3. [Paradigm Shift, Introducing usbliter8 (18 juin 2026, archivé)](https://web.archive.org/web/20260618141609/https://ps.tc/pages/blog-usbliter8.html)
4. [The Hacker News, Unpatchable 'usbliter8' Exploit Breaks Apple A12 and A13 SecureROM Boot Chain](https://www.thehackernews.com/2026/06/unpatchable-usbliter8-exploit-breaks.html)
5. [Paradigm Shift, dépôt PoC usbliter8 (18 juin 2026, archivé)](https://web.archive.org/web/20260618140950/https://github.com/prdgmshift/usbliter8)
6. [Elcomsoft, A12 usbliter8 BootROM sigpatches](https://blog.elcomsoft.com/2026/07/a12-usbliter8-bootrom-sigpatches/)
7. [Justia, Magnet Forensics, LLC v. Del Gaudio et al, 1:26-cv-03781 (N.D. Ga.)](https://dockets.justia.com/docket/georgia/gandce/1:2026cv03781/361854)
8. [The Apple Wiki, usbliter8 Exploit](https://theapplewiki.com/wiki/Usbliter8_Exploit)