iOS 26图形引擎现高危漏洞，Meta安全团队立功；苹果再修“零点击”iMessage后门

【科技24时区】当苹果在官方安全页面悄然更新了一行代码，修复了代号为CVE-2026-86950的漏洞时，这场发生在数字暗处的攻防战才刚刚浮出水面。值得注意的是，苹果承认该漏洞“可能已被黑客利用”，且攻击手段被描述为“针对特定目标的极度复杂攻击”。这意味着，这并非一次广撒网式的网络钓鱼，而是一场精心策划、指向性极强的精准猎杀。

此次暴露的风险点位于驱动iPhone、iPad及Mac用户界面与视觉呈现的核心图形引擎中。虽然苹果未披露技术细节，但熟悉系统架构的人都知道，图形引擎通常拥有极高的权限，能够广泛访问操作系统的其他部分。一旦防线失守，攻击者便有望窃取设备中海量的个人数据。颇具讽刺意味的是，这一致命缺陷的发现者并非苹果内部团队，而是来自竞争对手Meta的产品安全团队。尽管双方均未就发现过程或受影响用户规模发表评论，但这种跨巨头的安全协作，隐约透露出顶级科技公司面对底层威胁时的某种默契——毕竟，在系统级漏洞面前，没有真正的孤岛。

令人担忧的现实是，尽管iOS 27、iPadOS 27和macOS 27已于本月早些时候发布并免疫此漏洞，但绝大多数用户仍停留在旧版本。据苹果自家统计数据显示，近八成（约79%）的iPhone用户仍在运行iOS 26。对于这部分庞大群体而言，周二发布的软件更新不仅是功能迭代，更是迫在眉睫的安全补丁。至于幕后黑手究竟是国家背景的间谍软件制造商，还是逐利的网络犯罪团伙，目前仍笼罩在迷雾之中。

视线转回不久前的另一场危机。就在本次补丁发布前夕，苹果刚刚封堵了另一个更为隐蔽的“零点击”漏洞（CVE-2026-86869）。比利时网络安全研究机构ironPeak上周发布的详细报告揭示，该漏洞可通过恶意构造的iMessage消息无声触发，受害者无需任何交互——甚至不需要点击链接——即可中招。这类无需用户参与的漏洞，因其极高的隐蔽性和杀伤力，一直是监控供应商和间谍软件开发者眼中的“圣杯”。

更深层的技术博弈在于，该漏洞成功绕过了苹果引以为傲的BlastDoor安全机制。作为防止恶意代码从iMessage沙盒逃逸的关键防线，BlastDoor曾被视作移动安全的铜墙铁壁，如今却被证明存在裂隙。好在，随着9月份iOS 27等新版系统的推送，这一隐患已被消除。ironPeak的研究员Niels Hofmans与Meta的安全研究人员共同确认了这一发现，并在社交平台X上分享了相关成果。尽管尚不清楚该漏洞在修复前是否已造成实际损害，但它再次提醒我们：在智能手机这个随身携带的“数字器官”里，安全感往往比想象中更脆弱。