苹果公司每年九月发布会前，苹果漏洞总有那么几周，苹果漏洞全世界的苹果漏洞科技媒体都在赌一个谜题：这次iOS会修掉哪个漏洞？答案往往令人失望——他们修掉的是上个季度刚被发现的，而真正致命的苹果漏洞那个，通常要等黑客们玩腻了才轮到苹果动手。苹果漏洞

去年冬天，苹果漏洞我手里那台iPhone 12在凌晨三点自动重启了。苹果漏洞屏幕亮起时，苹果漏洞我瞥见通知栏里弹出一条陌生推送：“你的苹果漏洞设备已被锁定，解锁请支付0.5比特币。苹果漏洞”我以为是苹果漏洞诈骗短信，随手删了。苹果漏洞第二天早上，苹果漏洞相册里所有照片都被加密成了乱码，苹果漏洞连通讯录都变成了十六进制字符。苹果漏洞最讽刺的是，那台手机的系统版本号是iOS 16.6.1——苹果官方宣称“修复了三个已知漏洞”的最新版本。

后来在苹果授权店，工程师小哥一边插着数据线刷机，一边头也不抬地说：“这波是Airdrop的漏洞，老外论坛上早有人发了PoC（概念验证代码）。”我问他苹果知不知道，他笑了笑：“知道啊，他们内部追踪系统里这个漏洞代号叫‘蓝月亮’，已经挂了快半年了。但你知道的，修漏洞要排期，要测试，要等营销部门挑个不抢新品热度的日子。”

这让我想起2019年那桩旧案。安全研究员Zhi Zhou在iOS 12.4里发现了一个内核漏洞，可以远程越狱，连Apple Watch都逃不掉。他把细节报给苹果，苹果的回复邮件里写着：“感谢您的报告，我们将在未来版本中解决。”那封邮件发出后过了整整四个月，iOS 12.4.1才姗姗来迟。而在这四个月里，这个漏洞已经被黑市炒到50万美元——够买三辆顶配Model 3。

苹果不是没能力快速响应。去年7月，他们破天荒地在48小时内推送了iOS 16.5.1（a）的紧急更新，因为有个间谍软件正在利用“零日漏洞”攻击记者的人权律师。那一次，库克罕见地发了内部信：“用户安全是我们的北极星。”可奇怪的是，同样的紧急程度，为什么到普通用户身上就变成了“下个季度再说”？

说到底，漏洞修复的优先级从来不是按技术危险程度排的，而是按舆论压力排的。你打开苹果官网的安全更新页面，会发现那些被标记为“可能已被积极利用”的漏洞，往往在几个月前就被安全公司私下通报过了。苹果拖着不修，不是技术做不到，是在等一个合适的发布窗口——比如某个重大版本更新时，把十几个漏洞打包成“重大安全改进”的新闻稿，显得自己很努力。

这套玩法在商业上确实聪明。每次系统更新，用户看到的是一长串CVE编号（通用漏洞披露），觉得“哇修了这么多”，实际上里面混着大量低危的、无人问津的边角料。而真正能让人神不知鬼不觉被入侵的漏洞，往往要等某个安全团队在推特上发视频公开演示，苹果才装模作样地“确认并感谢”那位研究员。

我的手机最终在刷机后恢复了出厂状态，照片、聊天记录、备忘录，一切归零。工程师递回手机时补了句：“建议你开双重认证，然后别用Airdrop收陌生人文件。”我问他那系统漏洞呢？他耸耸肩：“你等iOS 17吧，听说这次他们把‘蓝月亮’列进修复清单了——不过可能拖到18也不一定。”

走出店门时我看了眼手机，屏幕上正好弹出系统更新提示：iOS 16.7.2，更新日志里写着“提供了重要的安全性更新”。我点了“稍后”，心想：这“重要”二字，大概和超市里“买一送一”的标签差不多吧。