Ing. Calogero Bono
Apple 发布了 iOS 27.2.1，以及 iPadOS、macOS、watchOS 和 visionOS 的同步更新。这次没有新功能，只有安全修复。最初的发布说明很简略，之后 Apple 才公布了完整文档。其中包括 iMessage、AirPlay 和蓝牙的漏洞，以及 macOS 上 eMudhra 证书问题的收尾。细节现已公开，你现在更有必要尽快更新。
在进入事实之前，先了解几个术语。 CVE 是为已知漏洞分配的编号。证书颁发机构是签发证书的机构，网站借助证书证明自己的真实身份。私钥是签署这些证书的秘密密钥，一旦泄露，就可能被用来伪造证书。命令行指的是 curl 和 git 这类在终端中使用的工具，它们不经过系统应用。速率限制是对尝试次数的上限，例如配对码的输入次数。
Apple 发布了哪些版本？
据 HDblog 报道，iOS 27.2.1 发布于 iOS 27.2 两周之后，修复了漏洞和安全问题。同时发布的还有 iPadOS、macOS Golden Gate、watchOS 和 visionOS 27.2.1。
更早的系统也获得了修复，iOS 和 iPadOS 为 26.7.3 和 18.7.12。Mac 方面有 macOS Tahoe 26.7.3 和 macOS Sequoia 15.8.3，watchOS 26 则升级到 26.6.1。
我们此前已报道过11 月 9 日的更新包。与此同时，iOS 27.3 的测试版仍在继续，我们在首个测试版发布时也写过相关内容。
iMessage 的漏洞可以被利用来做什么？
有两个漏洞涉及 iMessage。通过 CVE-2026-113961，远程攻击者可能在未受邀的情况下进入群聊并接收消息。通过 CVE-2026-113960，被加入群组的人还可能读取他入群之前交换的消息。
这些场景关系到聊天内容的保密性，包括同事和合作伙伴之间的工作对话。
AirPlay 和蓝牙存在哪些问题？
据 MacRumors 报道，大部分漏洞与 AirPlay 和蓝牙有关。恶意蓝牙设备可能在用户未进行任何操作的情况下完成配对。另一个缺陷则可能让附近的攻击者破坏进程的内存。
多个漏洞使攻击者可以绕过 AirPlay 配对码的尝试次数限制。HDblog 还提到了 App Intents 中的一个漏洞，它可能让应用在没有授权的情况下访问敏感数据。Apple 承认其中四个漏洞是内部发现的。
eMudhra 和 macOS 有什么关系？
据 9to5Mac 梳理，Mozilla 曾报告印度公司 eMudhra 所管理的八个中间证书颁发机构的私钥遭到泄露。Apple 从 10 月 19 日起通过自动更新封锁了这些证书，并于 23 日加上了其他保护措施。
但 curl 和 git 等工具仍然存在缺口，它们可能接受这些证书。macOS 27.2.1、26.7.3 和 15.8.3 堵上了这个漏洞，并从 /etc/ssl/cert.pem 中移除了五个根证书，其中包括最初手动方案未涵盖的三个 eMudhra 证书。
带有自有证书列表的应用不会遵循 Apple 的封锁，这一点需要向开发者询问。
需要了解的局限
Apple 没有说明这些漏洞是否已在真实攻击中被利用，各家来源也都提到了这一点。我们不知道实际有多少设备受影响，也不知道是否存在公开的利用代码。来源也没有解释每个缺陷是如何修复的。另外，哪些带有自有证书的应用会由开发者进行修复，也还有待观察。
这对从事数字工作的人意味着什么
如果你在公司里使用 iPhone 和 Mac，应该立即更新。在 iPhone 和 iPad 上进入“设置”、“通用”、“软件更新”。在 Mac 上进入“系统设置”、“软件更新”。管理一批设备的人应检查已安装的版本，包括较旧的 iOS 18.7.12。
在 Mac 上使用 curl 或 git 的开发者，例如在构建脚本中，需要更新 macOS，或者应用 Apple 提供的手动操作流程。如果某个应用自带根证书，就需要向其开发者确认情况。
我们的看法
修复方向是对的，但做法让人有些疑虑。发布时说明几乎是空的，细节却要等到之后才公布，这会让用户在不了解情况的情况下盲目安装，而攻击者往往几个小时内就能比对补丁。对于 eMudhra 事件，Apple 通过自动封锁的方式处理得不错，但覆盖面向终端工具延伸却花了数周时间，而这些工具恰恰是开发者每天都在用的。对于负责 服务器和基础设施的人来说，这是一个有用的教训。证书是一条链，只要一个环节暴露，整条链就不可靠。
常见问题
iOS 27.2.1 会增加新功能吗？
不会。据 HDblog 报道，它修复的是漏洞和安全问题，没有新功能。新功能要等 iOS 27.3，目前该版本仍在测试阶段。
这些漏洞已经被用于攻击了吗？
目前尚不清楚。Apple 没有表示这些漏洞已在现实中被利用。由于细节现已公开，没有更新的设备仍然更容易受到影响。
哪些旧系统也会获得修复？
iOS 和 iPadOS 的 26.7.3 和 18.7.12 版本。Mac 方面有 macOS Tahoe 26.7.3 和 Sequoia 15.8.3，watchOS 为 26.6.1。
eMudhra 证书问题是什么？
这是八个中间证书颁发机构的私钥遭到泄露。借助这些密钥，可以制作看似有效的虚假证书，用来仿冒网站并拦截数据。
我该如何更新设备？
在 iPhone 和 iPad 上进入“设置”、“通用”、“软件更新”。在 Mac 上打开“系统设置”，选择“软件更新”。
iOS 27.2.1 之后要关注什么，包括 27.3 测试版和带自有证书的应用
补丁已经发布，但事情并未结束。接下来的版本更新，以及那些不遵循 Apple 封锁规则的应用的表现，都值得持续关注。
- 检查你使用的工具是否自带根证书列表，并向开发者确认。
- 关注 iOS 27.3 测试版，了解还会有哪些修复。
- 留意 iMessage、AirPlay 和蓝牙相关 CVE 是否出现公开的利用代码。
