苹果本周为 iOS 26、iPadOS 26 和 macOS 26 推送了一次安全更新，修补了一个该公司称“可能已被利用”的漏洞。受影响的是上一代操作系统，而它们仍在大规模服役——按苹果自己的统计，接近 五分之四 的 iPhone 用户还停留在 iOS 26 上。 换句话说，绝大多数苹果设备用户，正处在这条补丁的覆盖范围之内。更新已经推送，装不装是另一回事。 漏洞藏在图形引擎里 根据苹果安全页面的说明，问题出在驱动 iPhone、iPad 和 Mac 用户界面与视觉呈现的主图形引擎中。该漏洞被正式编号为 CVE-2026-86950 。 苹果在描述中称，这个漏洞可被用于对特定目标个人发起“极其复杂的攻击”，影响范围是 iOS 27 之前的系统版本。至于漏洞的具体细节，官方并未公布。 图形引擎在系统里的位置比较特殊。它通常对设备操作系统的其余部分拥有广泛访问权限，一旦被成功利用，攻击者有可能从受影响设备上窃取范围相当广的个人数据。这也是这类漏洞被安全圈格外看重的原因。 Meta 的产品安全团队被记为这一漏洞的发现方。苹果和 Meta 的发言人在被问及漏洞如何被发现、有多少设备因此被入侵时，均未提供评论。目前也不清楚利用该漏洞的可能是谁——政府间谍软件厂商，还是网络犯罪分子，都没有定论。 另一条“零点击”漏洞刚被补上 这次安全补丁的消息，紧跟在苹果修复另一个严重漏洞之后。那个漏洞编号为 CVE-2026-86869 ，同样可能让攻击者从受影响的 iPhone、iPad 或 Mac 上悄悄窃取数据。 比利时网络安全研究公司 ironPeak 上周发布了一份详细分析，指出这是一个“零点击”漏洞，可以通过一条精心构造的 iMessage 在用户毫不知情的情况下被触发。这类漏洞不需要受害者做任何操作，比如点击链接，因此一直是监控供应商和间谍软件厂商追逐的目标。 按照 ironPeak 的说法，该漏洞能够绕过 BlastDoor——苹果为防止间谍软件等恶意代码逃出 iMessage 沙盒、进而入侵用户设备而设置的一道安全防线。 苹果已在 9 月随 iOS 27、iPadOS 27 和 macOS 27 的发布修复了这个漏洞，并将发现者记为 ironPeak 的 Niels Hofmans，以及 Meta 的安全研究人员——后者在 X 上发帖确认了他们的发现。这个漏洞在被修复前是否已被用于网络攻击，目前尚不清楚。 新系统不受影响，但旧系统用户基数庞大 本月早些时候发布的 iOS 27、iPadOS 27 和 macOS 27，在周二也收到了一次软件更新，但它们并不受这个正被攻击的漏洞影响。 问题在于，新系统的渗透速度远没有跟上。苹果自家统计显示，接近五分之四的 iPhone 用户仍在运行 iOS 26。这意味着，即便补丁已经就位，仍有大量设备停留在受影响版本上，等待用户自己动手更新。 对于普通用户来说，这次更新的动作很简单：打开设置，检查系统更新，装上它。苹果没有透露漏洞的更多技术细节，也没有说明攻击是否仍在持续，但从“可能已被利用”这一表述看，等待并不是一个划算的选择。 特别