iOS 27 與 iPadOS 27 修補126項漏洞，用戶應否立即更新？

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-09-15

Apple 在 9 月 14 日推出 iOS 27 及 iPadOS 27，iThome 報道指出，兩個系統合共修補 126 項保安漏洞。對一般 iPhone 和 iPad 用戶而言，這次更新最值得留意之處，在於修補重點集中於核心系統元件及記憶體安全問題，而非主要集中在瀏覽網頁時接觸的 WebKit。原始資料沒有說明任何漏洞已被黑客在野利用，也未列出各款裝置的支援範圍，因此不宜把今次更新描述成已確認的緊急攻擊事件。

不過，沒有公開在野利用證據，不等於可以長期略過更新。系統核心、畫面渲染及介面資源等元件同時出現多項漏洞，代表修補範圍橫跨日常使用的底層功能。對存有銀行 app、工作帳戶、相片和通訊資料的手機或平板電腦，用戶較實際的做法是：先備份重要資料，然後在有穩定 Wi‑Fi、足夠電量和可預留安裝時間的情況下，盡快安裝自己裝置可取得的最新系統版本。

126 項修補，重點落在系統核心

iThome 報道把今次漏洞按元件分類，Kernel（系統核心）涉及 16 項，是數量最多的一類；SceneKit 有 7 項，CoreUI 有 5 項，WebKit 則有 4 項。這個分布與上月更新有所不同：過往較常見的 WebKit 修補，今次所佔比例較低，系統核心反而成為主要焦點。Kernel 負責協調硬件資源和系統權限，相關漏洞若被成功串連利用，潛在影響通常不只局限於單一 app 或一個網頁分頁。

SceneKit 和 CoreUI 的名稱未必為一般用戶熟悉，但它們分別涉及 3D 圖像場景及使用者介面資源等系統功能。單看元件名稱，不能推斷用戶只要避免某一類遊戲、圖片或 app 便能避開風險；這正是系統級修補與一般 app 更新不同的地方。iThome 的資料也沒有交代每項漏洞所需的觸發條件、攻擊鏈或嚴重程度，因此更合適的解讀是把更新視為例行但覆蓋面較廣的防護工作，而不是自行估計某個漏洞對個人的確切風險。

記憶體安全問題為何值得優先處理

iThome 指出，今次修補以記憶體安全類漏洞為大宗，當中越界寫入有 14 項，是最多的具體類型；記憶體損毀有 9 項，越界讀取有 6 項，緩衝區溢位及已釋放記憶體仍被使用（UAF）各有 5 項。這些名稱聽來技術性很強，核心意思卻相當直接：軟件處理資料時若越過原來應可讀取或寫入的 RAM 範圍，可能令程式異常、洩露資料，甚至為攻擊者創造執行非預期指令的條件。

當然，漏洞數量不能直接等同實際危險程度。一項漏洞是否能造成嚴重後果，還要看攻擊者能否令目標裝置處理特製內容、是否需要配合其他漏洞，以及系統原有的保護機制能否阻截。可是，越界寫入、記憶體損毀和緩衝區溢位同屬開發者與保安團隊長期重視的錯誤類型；當它們分散在多個系統元件，個人用戶很難憑使用習慣逐一防範。更新作業系統，往往是最直接亦最不費力的補救方法。

用戶怎樣決定更新時機

若裝置已顯示 iOS 27 或 iPadOS 27 的可用通知，較穩妥的優先次序是先完成備份，再在短時間內更新，而不是無限期等待。資料來源未有提供 Apple 的官方支援裝置清單、檔案大小或更新後兼容性資訊，故不應假設所有 iPhone 或 iPad 都可安裝新版本；較舊裝置的用戶應在「設定」內查看可用更新，並以裝置實際提供的最新版本為準。若手機由公司、學校或機構管理，也應遵從其流動裝置管理政策，避免更新後影響工作 app、VPN 或內部登入安排。

更新前可留意幾項基本事項：確認備份已完成；保持充電或接上電源；預留足夠儲存空間；以及不要在即將出門、需使用電子支付或依賴雙重認證時才啟動安裝。這些安排不會降低漏洞本身的技術風險，卻能減少更新中斷日常使用的成本。對需要先觀察業務 app 相容性的機構，資訊科技團隊可先在受控裝置驗證關鍵流程，再安排分批推送，但也不宜因方便管理而長時間停留在已知存在較多未修補問題的版本。

更新後仍要留意甚麼

今次資料最清楚的訊息，是 Apple 已處理多個底層元件的問題；它沒有確認有漏洞正在被利用，也沒有提供足以判定個別風險高低的完整技術細節。因此，用戶不必因「126 項」這個數字恐慌，卻亦不應把系統更新當成可有可無的彈窗。對大多數人來說，完成更新、保留自動更新選項，並持續更新常用 app，已是合理的基本防線。

接下來值得觀察的是 Apple 會否在官方保安公告補充更多漏洞影響與支援版本資料，以及企業管理的 iPhone、iPad 能否順利完成部署。iThome 今次報道所呈現的元件和漏洞類型分布，也提醒用戶：流動裝置保安並不只取決於是否避開可疑連結，作業系統本身能否及時取得修補，同樣影響日常資料與帳戶的保護程度。