Apple 全平台更新修補至少 329 項漏洞，用戶應先核對版本

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-26

Apple 最新一輪系統更新覆蓋 iOS、iPadOS、macOS、Safari，以及 watchOS、tvOS 和 visionOS。據 9to5Mac 整理 Apple 已公布的保安內容，今次至少修補 329 項獨立漏洞；由於不少問題同時影響多個作業系統，合計列出 1,265 個 CVE。

不過，這兩個數字不宜直接理解為每名用戶均面臨 329 項即時風險。個別漏洞的受影響版本、攻擊前提與實際利用情況各有不同，而且 Apple 可能在公告初發後補充或修訂 CVE 條目。因此，較實際的重點是核對自己裝置所屬的更新分支，並盡快安裝相應版本。

先確認裝置是否在已修補版本

iPhone 和 iPad 用戶可在裝置的軟件更新資訊中，核對是否已安裝以下與機型相符的版本：

Mac 用戶則應按正在使用的系統核對：macOS Golden Gate 為 27.2、macOS Tahoe 為 26.7.2、macOS Sequoia 為 15.8.2。使用 Sequoia 或 Tahoe 的 Safari 用戶，則可確認瀏覽器是否更新至 Safari 27.2。

同一輪更新亦包括 watchOS 27.2、visionOS 27.2、tvOS 27.2，以及供 Apple TV HD 和第一代 Apple TV 4K 使用的 tvOS 26.6.1；後者暫時沒有公開 CVE 條目。

今次較值得留意的漏洞，分別牽涉 app 權限、敏感資料與網頁瀏覽：

CoreMedia（CVE-2026-86990）：惡意 app 可能在未獲授權下存取 iPhone、iPad、Mac 或 Apple Vision Pro 的鏡頭。
Apple Intelligence（CVE-2026-86987）：遙距攻擊者可能存取受支援 iPhone 和 iPad 上的敏感用戶資料。
Siri（CVE-2026-43736）：在 macOS Tahoe 上，app 可能存取敏感用戶資料。
WebKit：多個漏洞可讓特製惡意網頁內容執行任意程式碼。

從風險管理角度看，WebKit 問題尤其值得優先處理：網頁是日常接觸面最廣的一環，但「可執行任意程式碼」不等於每次開啟網頁都會中招；攻擊者仍須配合可利用的漏洞及攻擊條件。即使如此，將 Safari 和系統一併更新，仍可減少瀏覽惡意連結或網頁時的暴露面。

iOS 18 與 iPadOS 18 的更新亦帶來先前已發布的 CoreGraphics 修補（CVE-2026-86950）。特製惡意檔案可觸發任意程式碼執行；Apple 曾警告，該問題可能已被用於針對運行 iOS 27 之前版本的特定人士所進行的高度精密攻擊。

這項紀錄不代表所有舊版 iPhone 或 iPad 正在遭受相同攻擊，卻說明仍留在舊系統分支的裝置不能只因未升上最新主版本便略過保安更新。對用作登入帳戶、處理工作檔案及日常瀏覽的裝置而言，先核對版本，再完成可用更新，會比單看 CVE 總數更有用。

下一步值得留意的是 Apple 是否再補充今輪公告中的 CVE 條目，以及各漏洞會否出現更具體的在野利用資料；在此之前，已列出的相應更新版本仍是用戶可即時採取的保護措施。