Apple 漏洞 PoC 能讓裝置當機，但距離「入侵成功」還有一段距離

Apple CoreGraphics 漏洞 CVE-2026-86950 的公開概念驗證程式（PoC），目前展示的是一種可重現的當機情況：未更新的 iPhone 或 Mac 處理一份內嵌特製字型的 PDF 時，可能發生記憶體毀損。這並不等於 PoC 已能在裝置上執行攻擊者的程式碼。Apple 說明，處理惡意製作的檔案可能導致任意程式碼執行；這是漏洞的潛在影響，不是公開 PoC 已做到這一點的證據。234

這份 PoC 展示了什麼？

示範使用嵌有特製字型的 PDF，觸發 CoreGraphics 的越界寫入——也就是程式將資料寫到預期記憶體範圍之外。對尚未安裝修補程式的裝置而言，已報告的結果是處理檔案時發生當機。這證明檔案能造成可重現的故障，卻不代表攻擊者已取得裝置控制權，也不是一套完整的入侵手法。346

Apple 的安全公告指出，處理惡意製作的檔案可能導致任意程式碼執行。這描述的是漏洞可能造成的後果；目前公開的 PoC 並未展示可靠的程式碼執行能力。23

針對性攻擊的哪些細節仍未證實？

Apple 表示，已注意到一份報告稱，這個問題「可能」曾被用於針對特定人士的「極其複雜」攻擊，受影響對象使用的是 iOS 27 之前的版本。Apple 的措辭沒有確認攻擊細節，也未公布受害者身分或漏洞的實際使用方式；公開 PoC 同樣沒有重現或說明這些攻擊。24

漏洞由 Meta Product Security 揭露，也不能因此推定 WhatsApp 涉入。部分報導提到 WhatsApp 的 PDF 檢查，將其視為可能的傳遞線索；但現有資訊並未證實 WhatsApp 傳送了這個漏洞利用檔案，或與所述的針對性攻擊有關。45

Apple 已發布哪些更新？聯邦修補期限為何有出入？

Apple 在 2026 年 9 月 28 日發布的更新修補了此問題，包含 iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1 與 macOS Tahoe 26.7.1。Apple 的安全公告將漏洞定位於 CoreGraphics，並指出處理特製惡意檔案可能導致任意程式碼執行。2

美國聯邦機關的修補期限，現有報導說法不一。一則報導稱期限是 2026 年 10 月 2 日；另一則則指出，美國網路安全暨基礎設施安全局（CISA）的通知沒有列出這項漏洞的修補截止日期。根據目前可得資料，無法排除此一落差，因此 10 月 2 日應視為媒體報導的期限，而非已由該漏洞專屬的 CISA 公告確認的日期。1011

對一般使用者與管理者而言，實際做法很明確：安裝適用的 Apple 安全更新，不必等期限爭議釐清後才採取行動。