借助人工智能工具,苹果修复了 iOS 与 macOS 系统中的多项 WebKit 漏洞

苹果于周一发布了 iOS、iPadOS、macOS 以及 Safari 浏览器的安全更新，本轮更新有一处值得重点关注。本次修复的 WebKit 漏洞中，有 4 个是借助人工智能工具挖掘出来的，用到的工具包括 Anthropic 的 Claude 以及 OpenAI 的 Codex Security。这绝非小事，它彻底改变了防守方漏洞挖掘的人员格局。

本次苹果共修复了 WebKit 引擎下的 4 个漏洞。WebKit 是 Safari 浏览器以及苹果设备上所有网页渲染程序的核心引擎。

以下为漏洞详情：

CVE-2026-43707：WebKit 内存损坏漏洞，攻击者构造特制网页内容即可造成程序异常崩溃。
CVE-2026-43716：WebKit 漏洞，恶意网页内容可导致 Safari 浏览器意外崩溃。
CVE-2026-43745：WebKit 越界写入漏洞，用户访问特制恶意网页时会造成 Safari 崩溃。
CVE-2026-43715：WebKit 释放后重用漏洞，处理恶意网页时会引发内存损坏。

上述漏洞只是本次大规模补丁包中的一部分。仅 WebKit 组件，苹果公告就列出了近 30 项修复内容，其中包含 WebKit 画布组件的释放后重用漏洞，以及允许恶意网站突破浏览器沙箱窃取受限数据的安全缺陷。在内核层面，本次修复了 3 处独立漏洞，恶意应用可利用它们读取内核状态、直接造成系统宕机或是篡改内核内存。曾挖掘出 Dirty Frag 漏洞利用程序的安全研究员金炫宇（Hyunwoo Kim），贡献了其中两个内核漏洞的发现成果。

安装包现已正式推送：iOS 26.5.2、iPadOS 26.5.2、macOS Tahoe 26.5.2、Safari 26.5.2。苹果表示，这些漏洞在补丁发布前暂未发现野外被利用的迹象。即便如此，仍建议尽快完成升级，更新已是必然选择。

本次紧急更新的时间节点非比寻常，核心变化如下。苹果向路透社透露，本次补丁跳过常规周期提前发布，独立于下一个正式 iOS 版本之外，原因在于如今借助 AI 技术，攻击者能在极短时间内把已知漏洞转化为可用的攻击代码。

路透社报道原文：“通常情况下，除非安全人员发现针对零日漏洞的攻击行动，否则苹果只会将安全更新合并至大版本迭代中，例如从当前 26.5 版本升级到后续规划的 26.6 版本。在此空档期，开发人员与测试人员会对新版本进行测试，排查各类故障。”“而本次安全补丁提前面向全体用户开放，早于 26.6 正式版的发布。苹果称，尽管暂无证据表明这批新修复漏洞已遭利用，但必须缩短从漏洞补丁发布到用户终端完成部署的间隔时间。”

这彻底打破了苹果以往的运营策略。以往苹果习惯于把安全补丁打包合并到大版本系统升级里，很少单独推送紧急补丁。路透社评价，这代表苹果长期以来 “安全补丁跟随整体版本发布” 的惯例发生重大转变，足以说明苹果把 AI 带来的漏洞利用提速问题视作长期性风险，而非单次突发事件。

黑客新闻网也证实，本次补丁包含 “借助人工智能工具挖掘出的 4 个 WebKit 安全漏洞”。防守方用来挖漏洞的 AI 工具，一旦落入攻击者手中，同样会加速漏洞挖掘。攻防双方的技术竞速已经全面提速。

其中的矛盾显而易见：AI 帮助安全研究员发现漏洞，同时也大幅降低了攻击者挖掘漏洞、编写利用代码的门槛。这正是苹果加快发布安全更新、压缩攻击者窗口期的根本原因。

如果你一直搁置系统更新，现在请立即完成安装。虽然大部分漏洞仅能造成程序崩溃，但攻击者经常将多个漏洞组合串联，实施更高危害的入侵攻击。