```html

苹果爆出严重安全漏洞

一个叫“Coruna”的苹果漏洞利用工具包正在暗网标价200万美元出售。卖方声称它能让攻击者通过一条iMessage消息，爆出在用户毫无察觉的严重情况下完全控制iPhone——从读取加密聊天记录到远程开启麦克风，全程不需要受害者点击任何链接。安全这不是漏洞电影情节。苹果在4月12日发布的苹果紧急安全公告中确认，iOS 17.4.1之前的爆出系统存在一个已被“积极利用”的内核级漏洞，编号CVE-2024-23296。严重

我翻了一下苹果的安全安全更新日志，发现一个让人后背发凉的漏洞事实：这已经是2024年苹果修补的第三个“零日漏洞”。前两个分别在2月和3月被修复，苹果其中一个影响WebKit渲染引擎，爆出另一个直接作用于iOS内核。严重三个漏洞，安全三种完全不同的漏洞攻击路径。攻击者像在玩打地鼠，苹果补一个，他们换一个地方冒出来。

安全研究团队TrapSec的负责人陈默在邮件里告诉我，Coruna的可怕之处在于它把三个漏洞串成了一条完整的攻击链。“单独看每个漏洞，危害等级可能只是‘高危’。但组合起来，攻击者可以从iMessage的图片解析漏洞切入，提权到内核，最后绕过指针认证机制。整个过程像一把钥匙开三道锁。”

更让人不安的是攻击的隐蔽性。传统钓鱼需要诱导用户点击链接或下载文件，Coruna不需要。你收到一条看似正常的iMessage，可能是朋友发来的照片，也可能是快递通知截图。手机在后台自动解析图片时，漏洞就已经触发了。用户端没有任何弹窗、没有卡顿、没有异常发热。陈默的团队在实验室复现时，连他们自己都很难判断手机是否已被入侵。

苹果的回应倒是很快。4月12日的公告建议所有用户立即更新到iOS 17.4.1，并强调“保持软件更新是维护苹果设备安全最重要的方式”。这话没错，但问题在于——那些因为存储空间不足、担心旧机型卡顿、或者单纯懒得点“稍后提醒”的用户呢？根据Mixpanel的统计数据，截至4月中旬，仍有约18%的活跃iPhone运行着iOS 16或更早版本。这些设备中的大部分，永远不会收到这个补丁。

我自己的iPhone 12 mini在更新后出现了明显的电池续航下降。苹果社区里也有不少用户抱怨类似问题。安全更新带来的性能代价，成了另一个让人纠结的选项。你要安全，还是要续航？苹果没有给用户选择的权利，它只是把补丁推过来，然后告诉你“为了安全必须装”。

这件事真正刺痛我的，是苹果生态一直引以为傲的“封闭即安全”叙事正在松动。iMessage的端到端加密、App Store的严格审核、iOS的沙盒机制——这些曾经让iPhone成为最安全消费级设备的支柱，在国家级攻击工具面前显得越来越吃力。Coruna的卖方在暗网论坛上留了一句话：“苹果的墙很高，但墙上有门。”

普通用户能做什么？立刻更新系统。别等，别拖。如果你用的是iPhone X或更早机型，iOS 17已经不支持了，这意味着你连打补丁的资格都没有。要么换机，要么接受风险。至于那些认为“我只是普通人，没人会攻击我”的想法——Coruna这类工具包正在把高级攻击变成流水线产品。今天它标价200万美元，明天可能就出现在某个99美元的“间谍软件套餐”里。

苹果下次发安全公告的时候，希望你还记得今天这条iMessage可能带来的后果。

```