苹果漏洞 PoC 只能让设备崩溃，尚未证明可执行代码

苹果 CoreGraphics 漏洞 CVE-2026-86950 的公开概念验证（PoC）展示了一个明确结果：未安装补丁的 iPhone 或 Mac 处理带有特殊嵌入字体的 PDF 时，可能发生内存损坏并导致崩溃。它并未证明攻击者能够执行代码或控制设备。苹果表示，这个漏洞本身可能导致任意代码执行；苹果也称注意到有关该漏洞可能被用于高度复杂定向攻击的报告，但具体情况仍未得到公开证实。234

公开 PoC 展示了什么

这份演示利用嵌入了特殊字体的 PDF，在 CoreGraphics 中触发越界写入——这是一类内存错误。对于未修补的设备，已报告的结果是处理文件时崩溃。这说明问题可以被触发，但不等于攻击者已能控制设备，更不代表完整攻击链已经实现。346

苹果的安全公告指出，处理恶意构造的文件可能导致任意代码执行。这描述的是漏洞可能造成的影响，不能据此认定公开 PoC 已经实现了代码执行。2

定向攻击说法仍缺少公开细节

苹果表示，已注意到一则报告称，该漏洞可能曾被用于针对特定个人的“极其复杂”的攻击，受影响对象使用的是 iOS 27 之前的版本。但苹果的表述并未确认相关攻击，也没有说明受害者身份或漏洞具体如何被利用。公开 PoC 同样没有复现或解释这些攻击。24

漏洞发现工作获 Meta Product Security 致谢，也不能证明 WhatsApp 参与其中。有报道提到 WhatsApp 对 PDF 的检查，并将其视为一种可能的文件投递线索；但现有报道没有证实 WhatsApp 发送了相关漏洞利用文件，或与所称的定向攻击有关。45

苹果已发布更新；联邦期限说法不一

苹果于 2026 年 9 月 28 日发布了修复更新：iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1 和 macOS Tahoe 26.7.1。苹果公告将问题归于 CoreGraphics，并指出处理恶意构造的文件可能导致任意代码执行。2

联邦机构的修补期限则存在报道差异。一则报道将期限列为 2026 年 10 月 2 日；另一则称美国网络安全和基础设施安全局（CISA）的通知没有注明该漏洞的修复截止日期。现有信息无法消除这一矛盾，因此，10 月 2 日应视为媒体报道中的期限，而非已由该漏洞对应的 CISA 条目确认的日期。1011

对用户和设备管理员来说，实际建议并不复杂：为设备安装适用的苹果安全更新，不要因为期限说法不一而延后修补。