还在用 iOS 16？黑客正利用 2024 年的 Safari 漏洞攻击旧款 iPhone

2026 年 11 月 4 日，美国网络安全和基础设施安全局将 CVE-2024-27834，一个 Apple WebKit 漏洞，加入其已知在野利用漏洞目录。美国联邦机构须在2026年11月18日之前完成修补。CISA 将受影响产品列为 Apple 的“Multiple Products”。

这个漏洞源于2024年。Apple 于 2024 年 5 月 13 日在 iOS 17.5 和 Safari 17.5 中修复了它，同时也在面向较旧的 iPhone 8、iPhone 8 Plus 和 iPhone X 的 iOS 16.7.8 中完成修复。它重新成为新闻，是因为攻击者仍在针对从未安装该更新的手机使用这个漏洞。修复方案已经存在两年多。受到攻击的手机，正是那些在 2024 年 5 月之前就停止更新的设备。

在进入细节之前，先做个简要总结：

• 如果你的 iPhone 8、8 Plus 或 X 运行 iOS 16.7.8 或更高版本，这条特定攻击链对它不起作用。
• 如果它停留在 iOS 16.7.7 或更早版本，你就处于风险之中，应该今天就去更新。
• 如果你在 Android 上使用旧版 Chrome，一种相关攻击同样适用于你。Chrome 146 或更高版本已修复该问题。

CISA 在 11 月 4 日新增了什么，为什么 2024 年的漏洞又回来了？

这个缺陷本身位于 WebKit 中，也就是 Safari 和大多数 iPhone 浏览器背后的浏览器引擎。它让已经拥有内存读写权限的攻击者绕过 Pointer Authentication，这是 iPhone 的一项防御机制。Apple 将发现归功于与 Trend Micro 的 Zero Day Initiative 合作的 Manfred Paul。你可以阅读 Apple 针对 iOS 17.5 和 iOS 16.7.8 的原始修复说明。

CISA 收录背后所针对的攻击活动由法国安全公司 Sekoia 在同一天发布的报告中记录。我们会在接下来的章节中介绍它的所作所为。

哪些手机面临风险？

Sekoia 记录的攻击链按设备和软件版本区分。围绕 CVE-2024-27834 构建的 iPhone 攻击链只对停留在 iOS 16.7.7 或更早版本的手机有效，因为苹果早在 2024 年 5 月就已在 iOS 16.7.8 中修复了该漏洞。第二条 iPhone 攻击链针对 iOS 18.5，第三条针对 Android 上的 Chrome，具体是 139 到 145 版本。

iPhone 8、8 Plus 和 X 有一个需要注意的地方。这些手机在 iOS 16 上只能获得部分修复，而不是所有修复。完全更新到 iOS 16.7.16 的手机可以阻断攻击链 A，但仍可能存在其他 WebKit 漏洞，这些漏洞在更新的 iOS 版本中已被修复。这限制了这些手机的适用范围，我们在下文会讲到。

一次普通的网站访问如何变成攻击？

这种方法被称为水坑攻击。攻击者不向目标发送链接或消息，而是在目标很可能访问的网站上植入代码。你浏览到一个自己信任的网站，而网站向你推送漏洞利用代码。

Sekoia 记录了这次行动涉及的网站。这些不是新闻网站。名单中包括被入侵的正规页面：一家乌克兰天然气生产企业、一个美国化工行业协会、一个捷克政党，以及一个与保加利亚军方相关的网站。此外还有两个仿冒域名，一个模仿美国 America250 周年纪念网站，另一个模仿伦敦一家豪华酒店。一个被入侵的乌克兰网站分析脚本 Plerdy，从 2026 年 8 月 27 日到 9 月 3 日出现在数千个以乌克兰网站为主的站点上。受影响的国家是美国、乌克兰、捷克和保加利亚，英国则通过那个仿冒酒店域名受到影响。

对于在手机上阅读本文的读者来说，有两个细节最为重要：

• 不需要任何点击。Sekoia 表示，漏洞利用代码在无用户交互的情况下被推送，加载页面就足够了。
• 重启后手机上不会残留任何东西。攻击不具备持久化能力。

Sekoia 以中等到较高的置信度将这次行动与 APT29 联系起来，并指出该组织被普遍认为与俄罗斯对外情报机构有关联。撇开归因不谈，实际的教训与我们 2018 年关于 Safari 和 WebKit 的文章相同：浏览器是否已打补丁，决定了一个恶意页面是危险的还是无害的。Sekoia 自己的结论是，运行最新版本操作系统的用户不会受到这些攻击的影响，因为所有漏洞在行动开始前都已由厂商修复。

iPhone 8 或 iPhone X 更新后还安全吗？

大体安全。攻击链 A 需要两个漏洞配合才能得手。其中一个，CVE-2024-27834，已于 2024 年 5 月 13 日在 iOS 16.7.8 中修复，详见苹果的说明。因此，运行 iOS 16.7.8 或更高版本的手机，包括当前的 iOS 16.7.16，已经打断这条攻击链，攻击对它无效。

问题在于链中的另一个漏洞 CVE-2025-43529。苹果的说明列出了它在 iOS 18 和 iOS 26 中的修复，但没有针对 iOS 16 的修复。所以，完全更新的 iPhone 8 或 X 可以挡住这次攻击活动，但它可能仍带有新款 iPhone 已不存在的其他 WebKit 漏洞。iOS 16 只能获得部分修复，而非全部修复，它与当前 iOS 的差距会随时间不断扩大。

实际操作建议如下：

• 运行 iOS 16.7.7 或更早版本的手机面临链 A 的风险。请立即更新到 iOS 16.7.16，路径为设置，然后通用，然后软件更新。
• 运行 iOS 16.7.16 的手机可以免受这次攻击活动，但不能视为已完全修补。可以继续用它打电话、发信息和浏览网页，但应把银行和工作账户转移到较新的手机上。
• 完全不再接收任何更新的手机应当淘汰。它会不断积累未修补的浏览器漏洞。

当前 iOS 16 版本 16.7.16 于 2026 年 5 月 11 日发布，见苹果的发布说明。

安卓手机和 Chrome 呢？

第三条攻击链针对的是安卓，而不是 iOS。它把 CVE-2026-3910（Chrome 的一个漏洞）和 CVE-2025-27038（高通图形驱动的一个漏洞）组合在一起。据 Sekoia 介绍，这条链会窃取 Chrome 的 Cookie、保存的登录信息、浏览历史和 Wi-Fi 设置。

Chrome 的漏洞已于 2026 年 3 月 12 日在桌面版和安卓版 Chrome 146 中修复。Google 当时表示，已有漏洞利用在野外出现。这意味着同样的规则在这里也适用：受影响的是运行 Chrome 139 到 145 的手机，这些版本在 2026 年 3 月之前就停止了更新。

在安卓上，有两个独立的更新需要关注，而且它们不会同时到达：

• 浏览器：打开 Play 商店，搜索 Chrome，然后点击更新。你可以在 Chrome 的设置里，再到关于 Chrome 一栏，查看已安装的版本。你需要 146 或更高版本。
• 操作系统：高通驱动漏洞通过安卓系统更新修复，路径是设置，然后是系统或软件更新。在未打补丁的安卓系统上，即使 Chrome 已更新，攻击链的后半段依然存在。

驱动修复能否到达某台手机，取决于厂商是否推送系统更新。一台收不到任何更新的手机应该淘汰，就像旧 iPhone 一样。风险集中在那些从不安装已有更新的用户身上，这正是这次攻击行动中三条攻击链的共同模式。如果你的 Chrome 已经停留在 145 或更低版本好几个月，那就把这一点当作提醒，今天就去检查更新。

今天该做什么？

修复方式就是普通的更新，而且这波攻击中的每个漏洞在攻击开始前就已由厂商修补。

• 在 iPhone 上，进入设置，然后是通用，再进入软件更新，安装所有可用的更新。iPhone 8、8 Plus 和 X 的用户应升级到 iOS 16.7.16 或更高版本。
• 在 Android 上，打开 Play Store，搜索 Chrome 并点击更新。之后在 Chrome 的设置里查看关于 Chrome 一栏确认结果。你需要 146 或更高版本。
• Android 系统更新需要单独安装，路径是设置，然后是系统或软件更新。只更新浏览器并不能封堵整条攻击链。
• 如果你的手机已经完全收不到任何更新，就不要再用它进行银行业务、工作账户登录和购物。把这些账户转移到仍在接收补丁的设备上。
• 如果你还在用 iPhone 8、8 Plus 或 X 处理任何敏感事务，就该开始考虑换机了。偶尔的修复不等于完整支持。
• Sekoia 未发现持久化驻留，所以重启后手机上不会留下任何东西，但已经被窃取的 cookie 不会回来；如果一台未打补丁的手机可能加载过其中某个页面，请在重要账户上退出所有会话，然后重新登录。

这些建议并不新鲜。和我们在 2014 年关于 Apple SSL 漏洞的文章里描述的是同一套流程：检查更新，安装，再重复。我们的移动安全中心把更多这类基础知识集中在一个地方。

VPN 能防住浏览器漏洞攻击吗？

不能。VPN 加密的是你的设备与 VPN 服务器之间的流量，并向你访问的网站隐藏你的 IP 地址。它能在公共 Wi-Fi 上保护你，这一点我们在公共 Wi-Fi 一文中讲过。它不会给 Safari 或 Chrome 打补丁，也不会检查你加载的页面。

这次攻击活动中的漏洞利用是通过浏览器本身进入的。如果一个被入侵的页面投递了漏洞利用代码，这段代码会和其他页面内容一起进入加密隧道。VPN 看到的只是一条发往某台服务器的加密流量，它无法分辨恶意页面和正常页面。加密保护的是传输中的数据，而不是浏览器在数据到达后运行的代码。

VPN 能帮上忙的是你移动上网的其他场景。在酒店、机场或咖啡馆的 Wi-Fi 上，它能让你的流量避开同一网络里的其他人。这就是我们公共 Wi-Fi 文章里描述的那种保护。它和这次攻击活动所利用的问题是两回事。

这两层防护各司其职。更新修复的是浏览器漏洞利用所依赖的缺陷。VPN 保护的是你在不受自己控制的网络上的流量。VPN 是其中一层，更新是另一层。