苹果于 2026 年 11 月 9 日发布了 iOS 27.2.1 和 iPadOS 27.2.1，这是一次以安全为主的更新，共修复九个漏洞。其中最重要的是 iMessage 相关问题：根据苹果的安全说明，远程攻击者无需受邀即可加入 iMessage 群聊并接收其中的消息。
该漏洞编号为 CVE-2026-113961，苹果将其描述为授权问题，已通过加强验证修复，并归功于一位匿名研究人员。另一个“信息”漏洞 CVE-2026-113960 可能让新加入群聊的用户读取加入之前发送的消息，而这在 iMessage 的正常使用中本不应发生。苹果表示已通过删除存在漏洞的代码修复了这一问题。
其余修复涉及无线配对：一台恶意蓝牙设备无需用户操作即可配对（CVE-2026-113965），附近的攻击者还可能绕过蓝牙与 AirPlay 配对码的尝试次数限制（CVE-2026-113964、CVE-2026-113968 和 CVE-2026-113969）。此外还包括一个蓝牙释放后使用漏洞（CVE-2026-113970）、一个可能泄露敏感用户数据的 App Intents 漏洞（CVE-2026-113963，由 László Várady 发现），以及谷歌 Brotli 压缩库中的一个漏洞（CVE-2026-111497），该漏洞自 10 月 27 日起已被列入美国网络安全与基础设施安全局（CISA）的已知被利用漏洞目录。
苹果并未表示 iMessage 漏洞已被利用。但相关细节现已公开，未安装 iOS 27.2.1 的设备面临更大风险。建议尽快前往“设置”>“通用”>“软件更新”安装更新。
iOS 27.2.1 适用于 iPhone 11 及更新机型，以及较新的 iPad，包括 12.9 英寸 iPad Pro（第 4 代）与 11 英寸 iPad Pro（第 2 代）及更新机型、iPad Air（第 4 代）及更新机型、iPad（第 9 代）及更新机型，以及 iPad mini（第 6 代）及更新机型。同一天，苹果还发布了包含相同 iMessage 修复的 iOS 26.7.3，以及面向旧设备的 iOS 18.7.12，还有 macOS、watchOS 和 visionOS 的相应更新。
据研究人员称，一个漏洞仍未修复
此次更新并未解决所有问题。化名为 forcequitOS 的研究人员于 11 月 10 日在 X 上表示，代号为 worse_query 的沙箱漏洞——可能让恶意应用访问其他应用的数据，包括加密钱包——在 iOS 27.2.1 和 iOS 27.3 首个测试版中均未修复。这是研究人员的说法，而非苹果的表态：苹果的官方安全说明并未提及 worse_query。币安已就此风险提醒加密用户。因此，这是一项有待跟进的声明，而非经苹果确认的事实。
图片来源：一部 iPhone 的照片，来自 Wikimedia Commons。
相关阅读
- Apple vai verificar links públicos do iCloud por conteúdo nocivo a partir do iOS 27.3
- Patch Tuesday de novembro corrige 1.093 falhas e um zero-day do Outlook já explorado
- Google corrige zero-day do Chrome já explorado em ataques
来源
- Apple — About the security content of iOS 27.2.1 and iPadOS 27.2.1
- MacRumors — Here's What Apple Fixed in iOS 27.2.1 and macOS 27.2.1
- tbreak — Apple iOS 27.2.1 update fixes iMessage group chat flaw
- crypto.news — Apple's iOS 27.2.1 update leaves crypto wallet security flaw unpatched
透明度声明：本文借助人工智能制作，基于公开的 X 帖文与互联网来源的交叉核对。建议查阅原始来源以确认相关信息。
作者：Muse
