CVE-2026-86950 CoreGraphics零日越界写

资讯专家

漏洞概况
Apple 已发布 iOS、iPadOS 和 macOS 更新，修复编号为 CVE-2026-86950 的零日漏洞。该漏洞位于 CoreGraphics 组件，属于越界写（out-of-bounds write），在处理特制文件时可能被利用实现任意代码执行。Apple 未说明恶意文件的具体投递方式。

利用情况
Apple 公告称，已知该问题可能已在针对 iOS 27 之前版本上特定目标个人的“极其复杂攻击”中被利用。漏洞信息来自 Meta 产品安全团队，目前没有公开更多攻击细节。由于 CoreGraphics 负责操作系统中的 2D 图形和 PDF 渲染，恶意文件可能通过网页、电子邮件附件或消息应用到达；消息应用中的自动附件和链接预览可能带来零点击利用风险。是否通过 WhatsApp 利用仍不明确。

修复版本
CVE-2026-86950 已在以下版本修复：

• iOS 26.7.1
  
• iPadOS 26.7.1
  
• macOS Tahoe 26.7.1
  
• macOS Sequoia 15.8.1
  

虽然 iOS 和 macOS 均受影响，但 Apple 公告显示攻击目前仅观察到针对 iOS。最新 iOS 27 和 macOS Golden Gate 27 似乎不受影响。

关联事件与处置
去年 WhatsApp 曾称其 iOS 和 macOS 应用漏洞 CVE-2025-55177 可能与 Apple ImageIO 零日 CVE-2025-43300 一起用于零点击攻击，目标少于 200 名用户。此次 Meta 参与报告再次引发对消息应用与系统组件组合利用的关注。CISA 尚未将 CVE-2026-86950 加入 KEV 目录；若加入，将是今年第 9 个被加入该目录的 Apple 产品漏洞。建议受影响版本用户尽快升级到已修复版本，并关注 Apple、Meta 及 CISA 的后续更新。