苹果上周推送了iOS 17.6.1和macOS Sonoma 14.6.1，苹果曝出更新说明里只写了“重要的严重安全修复”。没给CVE编号，安全没提具体细节。漏洞这种模糊措辞在苹果的苹果曝出更新日志里不算新鲜事，但这次不一样——漏洞的严重严重程度，可能被低估了。安全

安全研究团队Trellix最先捅出细节。漏洞问题出在CoreFoundation框架里，苹果曝出一个叫CFString的严重组件在处理特定Unicode字符序列时会触发内存越界写入。简单说，安全攻击者只需构造一段恶意文本，漏洞通过iMessage发送，苹果曝出接收方甚至不需要点击链接，严重手机就可能被远程执行代码。安全

“零点击”这三个字在安全圈的分量，干这行的人都懂。

更麻烦的是攻击面。CoreFoundation被系统里几乎每一个处理文本的组件调用——短信、邮件、Safari的渲染引擎、甚至锁屏界面的通知预览。这意味着漏洞入口不止一个。Trellix的报告中提到，他们在实验室环境下用iMessage成功复现了攻击链，从发送恶意消息到获得内核级权限，全程不到12秒。

苹果的补丁来得不算慢。从Trellix私下提交报告到修复推送，间隔11天。但问题在于，这个漏洞可能已经被利用了。安全研究员@BenoitSev在X上贴出一段分析，指出漏洞利用代码的某些特征与NSO Group的Pegasus间谍软件高度相似。NSO的惯用手法就是零点击iMessage漏洞。苹果官方对此拒绝置评。

普通用户能做什么？立刻更新。设置→通用→软件更新，别拖。iOS 17.6.1和macOS 14.6.1的补丁说明里藏着一行小字：“处理恶意制作的文本消息可能导致内存损坏。”这就是那个漏洞。

但更新只能堵住已知的入口。真正让人不安的是苹果的安全响应机制。CoreFoundation这种底层框架的漏洞，理论上应该触发更高级别的警报——比如锁屏状态下禁用富文本预览、临时关闭iMessage的某些消息类型。苹果没这么做。补丁推送前的那11天，数亿台设备暴露在风险中。

我翻了下苹果的安全更新页面。过去12个月，苹果修复了至少7个已被在野利用的零日漏洞。这个频率在乔布斯时代不可想象。2021年之前，苹果一年公开的零日漏洞通常不超过3个。现在翻了一倍多。设备保有量涨了，攻击者的兴趣也涨了。更关键的是，苹果自己承认的——在iOS 17.6.1的安全说明里，他们罕见地用了“苹果已获悉此问题可能已被活跃利用”的措辞。

安全圈有句老话：补丁发布的那一刻，才是漏洞真正公开的时候。攻击者会反向分析补丁，找出未修补的旧版本设备。iOS 16及更早版本的用户，这次不在保护范围内。苹果没有为旧系统提供补丁。如果你还在用iPhone X或更早的机型，要么升级硬件，要么接受风险。

这事还有个尾巴。Trellix的研究员在博客里提了一句：漏洞的触发条件依赖特定的Unicode字符组合，而这些字符在正常语言中几乎不会出现。换句话说，攻击者需要针对特定目标定制消息。大规模无差别攻击的可能性不高，但定向攻击——记者、律师、活动人士——风险极高。

苹果的沉默策略这次不太好使。CoreFoundation漏洞的严重性，配得上一条更明确的警告。用户需要知道，他们面对的不是普通的“安全改进”，而是一个可能已经被武器化的零点击漏洞。更新吧，别等。