ARTICLE · 1308538

ios在野利用涉及ios26、ios27,以发现武器化呈现,请更新至最新版本.

发布时间：2026-11-04 17:22:14 最近访问：2026-11-04 17:22:14

在野武器化应用

苹果CoreGraphics 在把字体字形的浮点坐标转成定点数时，两个调用方对「数值溢出」的处理方式不一致——一个饱和、一个截断。这一行编译器的差别，导致字形包围盒被算小，分配了过小的缓冲区，渲染时越界写入。攻击者把畸形字体塞进 PDF，目标设备只要预览 / 打开这个文件（iMessage、WhatsApp、Files、Mail、Safari 任一会调用 CoreGraphics 渲染的入口），就能触发内存破坏。该漏洞（CVE-2026-86950）已被用于在野定向攻击，进了 CISA KEV，CVSS 多家给到 9.8。

关注

重播分享赞

视频详情

关键边界：公开PoC 只能打崩溃，不能打 RCE——Calif 团队明确没做那一步。但「崩溃」到「执行」之间的距离，在商业间谍软件手里从来不是问题。

1. 为什么是 PDF，为什么是现在

过去几年iOS 的高危利用几乎都长在渲染管线上：图像、字体、PDF、网页。原因很直白——这些组件默认自动处理不可信输入。你不用点链接、不用装 App，只要文件出现在 chat 里被预览，代码就跑了。

2026 年 9 月，苹果修掉一个被实际利用的零日：一个特制 PDF，靠嵌入的恶意 TrueType 字体触发 CoreGraphics 越界写（OOB Write）。苹果原话是「可能在针对特定个人的极复杂攻击中被利用」——这是苹果对国家级 / 商业间谍软件的标准措辞 [2][5]。

节奏提醒：这已经是2026 年苹果修的第 7 个在野零日 [5]。渲染管线是 iOS 攻击面的「老破小」，年年塌，年年修，年年还有新的。

2. 漏洞档案

表1CVE-2026-86950 漏洞档案

字段	值
CVE	CVE-2026-86950
组件	Apple CoreGraphics（aa_double_to_fixed 字形栅格化路径）
类型	越界写（CWE-787，OOB Write）
CVSS	多家评9.8（AV:N/AC:L/PR:N/UI:N，部分来源）[7]
状态	在野已利用（ITW），列入 CISA KEV（2026-09-29 加入，联邦修复死线 10-02）[1][2]
发现方	Meta Product Security 报告 [2][5]
修复版本	iOS/iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1（及 iOS 27 起）[2][5]
公开PoC	Calif「The Great Glyph Grift」——仅崩溃，非 RCE [3]

3. 机理拆解（核心）

3.1 渲染时在算什么

CoreGraphics 把字形的轮廓（glyph outline）栅格化到一张 4096 × 4096 的子像素网格上。每个顶点坐标本来是浮点数，要转成 32 位定点数（fixed-point）才能做整数运算。这个转换由函数 aa_double_to_fixed 完成 [3]。

3.2 问题出在哪

当一个浮点坐标大到32 位整数装不下时，这个强制转换在 C 语义里是未定义行为（UB）。按理说全工程应该统一处理，但编译器在两个不同调用方里生成了不同的 ARM64 指令：

表2　两个调用方对越界坐标的差异化处理

调用方	指令	行为	结果
aa_moveto	FCVTZS	饱和（saturate）：超出范围就钳到最大整数	坐标被拉到上限
aa_lineto	XTN	截断（truncate）：直接截低 32 位	坐标被截成一个小值

同一个「越界坐标」，一个函数当它是「顶到天花板」，另一个当它是「贴着地板」。两者对不上的瞬间，bug 就生了。

3.3 从不一致到越界写

两个调用方对越界坐标给出不同的处理结果→ 字形的包围盒（bounding box）被算得太窄 → CoreGraphics 据此分配了一个偏小的缓冲区 → 实际绘制时，绘制代码写入超出该 buffer 边界的数据 → OOB Write。公开 PoC 的表现是覆写相邻两个 16 位值，足以让进程崩溃（DoS）；要把它变成稳定的任意代码执行，还需要堆布局（heap shaping）、ROP 等后续原语——Calif 明确说这部分工作他们没做 [3]。

3.4 苹果的修法

补丁在转换处加了手动clamp（钳位），保证两个调用方对越界坐标得到一致、安全的处理结果 [3]。一句话：把 UB 变成确定行为。

// 修复前的隐性不一致（示意，非原始代码）aa_moveto: v = CLAMP_BY_SATURATE(f) // FCVTZSaa_lineto: v = TRUNCATE(f) // XTN -> 不一致// 修复后：两路统一钳位v = clamp(f, FIXED_MIN, FIXED_MAX) // manual clamping

4. 触发与投递：为什么「打开即中」

CVE-2026-86950 是文件触发型攻击面：只要设备上的某个进程用 CoreGraphics 渲染了这个 PDF，漏洞就触发。CoreGraphics 是系统级渲染底座，几乎所有「自动预览文件」的入口都走它 [5][7]：

liMessage / WhatsApp 附件预览

lMail 附件

lFiles App 缩略图

lSafari 内嵌 PDF / 网页视图

Meta 在修复同期给 WhatsApp 的 Kaleidoscope 附件扫描器加了 MalformedFontProgram / UndecodableFontProgram / UnverifiedFontProgram 三类字体校验标签，被研究者视为「投递路径就是聊天附件」的旁证 [3][5]。在野利用疑似通过即时通讯自动渲染实现近乎零点击的触发——你甚至不需要主动点开，预览即触发 [5][7]。

一个被撤回又重发的细节：早期曾有「通过自动下载媒体零点击投递」的说法，发布85 分钟后被撤下，Meta 未回应 [3]。所以「零点击」到什么程度，待验证；但「预览即触发」是确定的。

5. 利用现状与在野活动

表3　利用现状与在野活动

维度	现状
公开PoC	仅崩溃（DoS），无 RCE；代码与生成脚本已在 Calif GitHub 仓库公开，任何人都可在未打补丁设备上复现崩溃 [3]
在野利用	苹果确认「极复杂攻击针对特定个人」；目标画像为记者、企业高管、政府官员——典型商业间谍软件手法 [2][5][7]
归因	Meta Product Security 发现并报告；CISA 认定为已利用漏洞 [1][2]
武器化RCE	无公开可用载荷；在野实际载荷未被公开获取[3][5]

关键判断：崩溃PoC 公开 ≠ 武器化公开。从崩溃到稳定 RCE 是另一个量级的工程，商业间谍软件供应商（NSO、Paragon 之流）有能力补齐，但那部分永远不会出现在公开仓库里。所以「我能复现崩溃」和「我能黑进别人手机」之间，隔着一整条商业利用链。

6. 同族漏洞（别只盯一个）

同一渲染路径上，苹果在2026-10-26 又修了另外两个 CoreGraphics PDF OOB Write，修复线在 26.7.2 / 27.2：

表4　同族漏洞修复状态

CVE	严重度	状态	修复版本
CVE-2026-112610	HIGH（无公开 PoC，EPSS 0.0）	未发现ITW	iOS/iPadOS 26.7.2、27.2；macOS Tahoe 26.7.2、Sequoia 15.8.2 [8]
CVE-2026-112611	Medium（无公开 PoC，EPSS 0.0）	未发现ITW	同上[4]

含义：如果你手上是iOS 27.0 ~ 27.1 的设备，CVE-2026-86950 已经修掉，但 112610 / 112611 仍可能中招——直到升到 27.2。版本号别只看大版本，要看构建号。

7. 修复与防御

对个人/ 企业机队：

l升级到iOS/iPadOS ≥ 26.7.1（覆盖 86950），≥ 27.2（覆盖 112610/112611）[2][4][8]。

l高风险人群（记者、维权者、高管、公务人员）开启Lockdown Mode（设置 → 隐私与安全 → 封锁模式），直接削减文件渲染攻击面 [5][7]。

lMDM（如 Jamf）对机队强制最小补丁版本，非合规设备禁止访问企业资源 [5]。

对防御侧（SOC / 蓝队）：

l监控CoreGraphics / PDFKit 相关进程异常终止与 EXC_BAD_ACCESS 崩溃日志。

l邮件网关/ 端点对不可信 PDF 做字体校验（对齐 Meta 的字体标签思路）。

l资产清点+ 快速补丁 SLA（CISA 给联邦的死线是 3 天，企业应以之为基准）[1]。

8. 引用链（按出现顺序）

1.Lookout— CVE-2026-86950 - Apple CoreGraphics Out-of-Bounds Write Vulnerability，威胁情报与 admin 建议；CISA KEV 时间线。2026-09/10。https://security.lookout.com/threat-intelligence/article/cve-2026-86950-apple-coregraphics-out-of-bounds-write-vulnerability

2.The Terminal Space— Calif Releases Proof of Concept for Exploited Apple CoreGraphics Flaw（"The Great Glyph Grift"，崩溃 PoC，机理拆解，时间线）。2026-10-03。https://theterminal.space/security/calif-coregraphics-cve-2026-86950-poc-crash-only

3.The Hacker News（经[2] 引用）— Apple Patches CoreGraphics Flaw Possibly Exploited in Targeted Attacks；Apple CoreGraphics PoC Emerges as WhatsApp PDF Checks Hint at Possible Delivery Path。2026-10-03。

4.Wiz Vulnerability Database— CVE-2026-112611: macOS/iOS vulnerability analysis and mitigation。2026-10-26。https://www.wiz.io/vulnerability-database/cve/cve-2026-112611

5.Wiz Vulnerability Database— CVE-2026-112610: macOS/iOS vulnerability analysis and mitigation。2026-10-26。https://www.wiz.io/vulnerability-database/cve/cve-2026-112610

6.Code24— Apple Fixes iPhone Zero-Day That Needed Just One Malicious PDF（面向公众解读，印度市场视角）。2026-10。https://code24.in/apple-fixes-iphone-zero-day-that-needed-just-one-malicious-pdf

7.PID / Cyber Defense Magazine— Apple Patches Zero-Day Used in Targeted Attacks on iOS Users（机理、Meta 角色、交付路径分析）。2026-10。https://pid.co.il/apple-zero-day-cve-2026-86950-patch

8.FlagThis— Apple CoreGraphics Zero-Day CVE-2026-86950 Exploited in Targeted Attacks（CVSS、影响、缓解摘要）。2026-09。https://flagthis.com/tldr/8080?company=Apple

9.Apple 安全公告— iOS/iPadOS/macOS 对应版本安全性内容（26.7.1 / 26.7.2 / 27.2 等）。apple.com/security。

10.Citizen Lab— Graphite Caught（作为「iOS 零点击 PDF/字体类攻击被间谍软件用于定向记者」的模式佐证，对应 CVE-2025-43200，非本 CVE 但同源攻击范式）。2025-04。https://citizenlab.ca/research/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/