WebKit 零日漏洞的緊急修復與攻擊鏈分析

蘋果公司近日發布了緊急的安全更新，旨在修復兩個已被主動利用的零日漏洞。這些漏洞被用於針對特定個人的「極其複雜的攻擊」中，其性質和目標顯示出幕後攻擊者具備高度的專業能力。這兩項零日漏洞，分別被追蹤為 CVE-2025-43529 和 CVE-2025-14174，儘管編號不同，但它們均是針對相同已報告的底層漏洞所發布的修復。

蘋果公司的安全公告已明確指出這次威脅的嚴重性。蘋果公司注意到有報告稱，此漏洞可能已被用於針對 iOS 26 之前版本 iOS 的特定目標用戶的極其複雜的攻擊中。 這類針對性極強的「極其複雜的攻擊」通常是國家級行為者或高度專業的傭兵駭客組織（Mercenary Spyware）所為，他們鎖定人權運動家、記者或政府官員等高價值目標。

兩個 WebKit 漏洞的技術特性

這兩個漏洞都存在於 WebKit 渲染引擎中。WebKit 是 Apple Safari 瀏覽器和所有 iOS/iPadOS 應用程式中用來顯示網頁內容的核心組件，其安全性至關重要，因為任何對 WebKit 的攻擊都可能只需使用者點擊一個惡意連結或瀏覽一個惡意網頁即可發動。

1. CVE-2025-43529：釋放後使用遠端程式碼執行漏洞 CVE-2025-43529 是 WebKit 的一個釋放後使用遠端程式碼執行漏洞，攻擊者可以透過處理惡意建構的網頁內容來利用該漏洞。 「釋放後使用」（Use-After-Free, UAF）漏洞是一種常見且危險的記憶體錯誤。它發生在程式釋放了一塊記憶體後，仍然嘗試讀取或寫入該記憶體區域。在攻擊情境中，攻擊者可以利用 UAF 來植入惡意程式碼，進而在受害者的設備上實現 遠端程式碼執行 (RCE)，從而完全控制設備。蘋果公司表示，該漏洞是由 Google 威脅分析小組（Threat Analysis Group, TAG）發現的，這顯示了業界資安組織在識別和遏制零日威脅中的關鍵作用。

2. CVE-2025-14174：記憶體損壞漏洞 CVE-2025-14174 是一個 WebKit 記憶體損壞漏洞，可能導致記憶體損壞。 記憶體損壞（Memory Corruption）漏洞可能導致程式執行意外的行為，包括崩潰、服務中斷，或更嚴重地，允許攻擊者以不可預測的方式覆蓋或操縱記憶體，進而為 RCE 攻擊奠定基礎。蘋果表示，該漏洞是由蘋果和 Google 的威脅分析小組共同發現的，這表明兩大科技巨頭在應對這類高複雜度威脅時進行了合作。

攻擊者利用這類漏洞的方式通常是誘騙目標透過 Safari 或任何其他使用 WebKit 內核的應用程式打開一個包含惡意 JavaScript 或 HTML 的網頁。一旦頁面被處理，漏洞即被觸發，允許攻擊者在受害者設備上執行惡意 payload。

跨平台緊急修復的範圍

由於 WebKit 是一個跨多個蘋果作業系統的核心組件，這次的安全更新涵蓋了幾乎所有蘋果生態系統的產品線。蘋果已針對廣泛的產品發布了修補程式，包括最新的和部分舊版本的作業系統。

蘋果已修復了 OS 26.2 和 iPadOS 26.2、iOS 18.7.3 和 iPadOS 18.7.3、macOS Tahoe 26.2、tvOS 26.2、watchOS 26.2、visionOS 26.2 和 Safari 26.2 中的缺陷。

對於個人使用者和企業組織而言，由於這些漏洞已被證實用於現實世界的攻擊，並且這些攻擊鎖定特定高價值目標，因此，即時部署這些緊急更新是刻不容緩的行動。延遲修補將使設備持續暴露於這類極其複雜的、可能導致設備完全控制和數據外洩的零日威脅之下。

結論與資安防護建議

這兩項 WebKit 零日漏洞的緊急修復，突顯了當前網路威脅環境的嚴峻性，特別是針對移動設備和個人資料的威脅。即使是最受信任的平台，也無法完全免疫於零日攻擊。

面對這類複雜攻擊，所有蘋果產品的使用者和管理者應立即：

1. 優先執行更新： 檢查並立即安裝所有蘋果設備上列出的最新軟體版本（如 iOS 26.2、macOS Tahoe 26.2 等）。

2. 保持警惕： 避免點擊來自未知或可疑來源的連結，即使是來自熟悉聯絡人的連結，也應提高警惕，因為釣魚和中間人攻擊仍是觸發這類 WebKit 漏洞的常見方式。

3. 啟用自動更新： 建議啟用所有蘋果設備的自動更新功能，以確保在緊急安全修補發布時能盡快部署，縮短受攻擊的「窗口期」。

這類高階威脅的持續存在，要求組織和個人用戶必須將零日應急響應能力提升到最高優先級。