Apple CVE-2026-86950 漏洞：受影響裝置及更新方法一覽

Apple 的 CVE-2026-86950 是 CoreGraphics 中的「越界寫入」漏洞。CoreGraphics 是 Apple 系統處理圖像及圖形內容的框架；如果受影響裝置處理經特別設計的惡意檔案，攻擊者或可令裝置執行任意程式碼。Apple 表示，收到報告指漏洞可能曾被用於極複雜的攻擊，目標是特定人士；這不代表所有受影響裝置都曾遭攻擊。 1239

哪些裝置和系統版本受影響？

受影響軟件版本包括：

• iOS、iPadOS：26.7.1 之前版本
• macOS Sequoia：15.8.1 之前版本
• macOS Tahoe：26.7.1 之前版本

Apple 已在 iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1 和 macOS Tahoe 26.7.1 加入修補程式。相關安全公告於 2026年9月28日 發出。 123

Apple 列出的 iPhone 和 iPad 適用機種包括 iPhone 11 或更新型號；iPad Pro 12.9 吋（第3代或更新型號）；iPad Pro 11 吋（第1代或更新型號）；iPad Air（第3代或更新型號）；iPad（第8代或更新型號）；以及 iPad mini（第5代或更新型號）。 1

macOS 安全公告按系統版本列出受影響範圍，沒有逐一列出 Mac 型號。Mac 用戶可查看目前安裝的 macOS 版本，並安裝裝置提供的相應更新。 23

Apple 提到的攻擊報告，指的是 iOS 27 之前版本可能曾受攻擊。這只說明報告所指的系統版本，並不代表所有使用舊版系統的裝置都是攻擊目標。 19

惡意檔案如何觸發漏洞？

Apple 公布的觸發情況是裝置「處理經特別設計的惡意檔案」，後果可能是執行任意程式碼。現有安全公告沒有指出特定檔案格式，也沒有交代檔案如何送到目標裝置或以甚麼方式被處理。因此，若斷言某種圖片、文件或傳送途徑就是攻擊媒介，便超出目前資料所能證實的範圍。 1239

網絡安全機構有甚麼說法？

美國國家漏洞資料庫（NVD）記錄了 Apple 對漏洞影響範圍的描述，以及可能曾有針對特定人士的高度複雜攻擊。另有網絡安全新聞報道指，美國網絡安全和基礎設施安全局（CISA）已把此漏洞列入「已知遭利用漏洞」目錄；不過，這裏提供的 CISA 搜尋結果未有個別項目可直接核實該說法，因此應視為媒體報道，而非本文已獨立確認的資料。 919

印度媒體報道指，印度電腦緊急應變小組（CERT-In）發出高危警示，並促請用戶盡快更新。現有資料沒有附上 CERT-In 的原始公告，因此本文無法獨立核實公告的詳細措辭和建議。 1213

如何安裝修補更新？

為每部裝置安裝系統提供的最新更新：

• iPhone 或 iPad：「設定」→「一般」→「軟件更新」
• Mac：「系統設定」→「一般」→「軟件更新」

Apple 的安全更新列表亦會列出軟件更新和相關安全公告。 1234

裝置更新前，宜避免處理來歷不明或意料之外的檔案。這只是暫時的審慎做法，不能代替安裝修補程式；目前亦沒有證據指出某一種檔案格式必然涉及漏洞。 19

iOS 27.0.1 修正的是另一批問題

iOS 27.0.1 列出的錯誤修正，與 CVE-2026-86950 是兩回事。Apple 表示，更新修正了 iPhone 18 Pro 和 iPhone 18 Pro Max 在 Face ID 驗證失敗時可能意外重新啟動的問題；少數上述型號在特定情況下拍攝 2 倍照片可能出現色彩瑕疵；以及同時開啟「通知中心」和「控制中心」時，觸控螢幕可能無反應的問題。