Apple修補 iMessage、AirPlay 與藍牙漏洞　iPhone、iPad 用戶應更新

TechLab 編輯部（譯）·2026-11-11

Apple 於 11 月 9 日發布 iOS 與 iPadOS 27.2.1，以及 18.7.12 安全更新。iThome 報道指出，兩份公告分別列出 9 個及 6 個 CVE 編號；扣除重複項目後，今次共修補 10 個獨立漏洞。

對用戶而言，風險不只在於裝置本身，亦涉及日常通訊和周邊裝置的信任關係：iMessage 群組訊息、AirPlay 接收端，以及藍牙配件的配對流程均在修補範圍之內。

三類較貼近日常使用的風險

iThome 指出，兩個 iMessage 漏洞可能讓遙距攻擊者在未獲邀請下加入群組並接收訊息，或使新加入成員讀取加入群組前的訊息紀錄。群組對話常被視為封閉空間，這類問題的影響在於通訊內容及既有紀錄的存取邊界可能被削弱。

AirPlay 與 Bluetooth 相關漏洞則集中在配對驗證。報道稱，攻擊者可能繞過配對碼嘗試次數限制，甚至毋須用戶互動便完成配對；部分問題亦可能造成處理程序 RAM 損壞。對經常使用無線耳機、喇叭、車載系統或家居 AirPlay 裝置的人來說，應將更新視為降低配對風險的基本措施。

18.7.12 另修補 MediaRemote 元件的 AirPlay 漏洞。這項情況要求攻擊者有實體接觸裝置的機會，可能從鎖定畫面把裝置與 AirPlay 接收端配對；它與遙距攻擊的威脅模型不同，但在共用空間或裝置曾短暫離手時仍有意義。

27.2.1 亦修補 Brotli 壓縮程式庫的越界寫入漏洞 CVE-2026-111497。iThome 指出，美國網絡安全及基礎設施安全局已於 10 月 27 日將此漏洞納入已知遭利用漏洞目錄（KEV），代表該漏洞已曾在實際攻擊中被利用。

不過，這不應被延伸解讀為 iPhone 或 iPad 已出現相關攻擊。報道明確表示，目前沒有證據顯示攻擊者已利用此漏洞入侵 Apple 流動裝置。KEV 狀態可說明漏洞在其他情境具現實威脅，卻不能單獨證明某一平台已受害。

更新版本	公告列出的 CVE 數量	報道提及的重點
iOS／iPadOS 27.2.1	9 個	iMessage、AirPlay、Bluetooth 及 Brotli
iOS／iPadOS 18.7.12	6 個	iMessage、AirPlay、Bluetooth；包括 MediaRemote

兩個版本的 CVE 有重複，故不能把 9 與 6 直接相加。

若裝置可安裝相應版本，應優先完成更新，特別是經常使用 iMessage 群組、AirPlay 或藍牙配件的用戶。下一步值得留意的是 Apple 有否公開各 CVE 更細緻的受影響範圍，以及是否出現針對流動裝置的實際利用證據。