蘋果發布首個后臺安全更新修復WebKit漏洞

蘋果發布了首個后臺安全更新，修復了一個新發現的安全漏洞CVE-2026-20643，該漏洞影響其智能手機、平板電腦、臺式機和筆記本電腦等產品生態系統。

CVE-2026-20643由安全研究員Thomas Espach發現，影響WebKit瀏覽器引擎，特別是其導航應用程序編程接口(API)。

據蘋果表示，CVE-2026-20643漏洞使威脅行為者能夠繞過名為"同源策略"的網絡瀏覽器安全機制，前提是目標設備處理惡意制作的網絡內容。蘋果稱已通過改進輸入驗證解決了這一問題。

蘋果設備管理和安全專家Jamf公司的高級企業策略經理Adam Boynton表示："WebKit是為Safari和iOS上其他瀏覽器提供支持的底層技術。CVE-2026-20643漏洞特別影響同源策略，該策略阻止一個網站訪問另一個網站的個人信息。通過利用該漏洞，惡意制作的網絡內容可能訪問來自另一個站點的數據。"

通俗來說，要利用CVE-2026-20643，威脅行為者需要引誘受害者——很可能通過釣魚郵件——訪問惡意網站。

此時，惡意頁面會試圖繞過同源策略強制執行的隔離，該策略限制從一個源加載的文檔和腳本如何與來自另一個源的資源交互。

最終，其目的是隔離惡意元素或文檔，因此它是端點安全的關鍵因素。

成功利用該漏洞，威脅行為者可以查看其他打開的瀏覽器標簽頁中的數據。在錯誤情況下，這可能使他們能夠查看和竊取憑據，作為持續和進一步攻擊的跳板，或竊取敏感數據進行勒索。

Jamf的Boynton說："對于組織而言，確保立即發布此更新至關重要，任何延誤都會使設備和操作面臨風險。更重要的是，用戶應該設置自動發布更新，這樣攻擊者就沒有利用的時間窗口。"

什么是后臺更新

這是蘋果發布的首個后臺安全更新，蘋果將此功能宣傳為在更定期的軟件更新之間推送額外安全保護的手段。

蘋果將后臺安全更新描述為針對Safari網絡瀏覽器或WebKit框架堆棧等組件的"輕量級安全發布"，這些組件可能受益于更頻繁的小型持續補丁。

后臺安全更新還意味著用戶不必費力應用設備操作系統的全新版本及其附帶的所有內容。相反，更新可以快速瞄準并部署到各個系統組件。

雖然蘋果設備應該自動應用后臺更新，但如果需要，可以關閉此功能。想要確保接收后臺安全更新的用戶應該導航到設備設置中的隱私和安全菜單，確保自動安裝選項已打開，否則他們將等待下一個軟件更新。

請注意，根據蘋果的說法，如果用戶選擇刪除后臺安全更新，其設備將恢復到基線操作系統，不包含任何最近的修復。

Q&A

Q1：CVE-2026-20643漏洞具體會造成什么危害？

A：CVE-2026-20643漏洞影響WebKit瀏覽器引擎的同源策略安全機制。成功利用該漏洞，威脅行為者可以查看其他打開的瀏覽器標簽頁中的數據，在錯誤情況下可能竊取用戶憑據作為進一步攻擊的跳板，或竊取敏感數據進行勒索。

Q2：蘋果的后臺安全更新有什么特點？

A：這是蘋果發布的首個后臺安全更新，是"輕量級安全發布"，可以在定期軟件更新之間推送安全保護。用戶不需要升級整個操作系統，更新可以快速部署到個別系統組件，如Safari瀏覽器或WebKit框架。

Q3：如何確保設備能自動接收后臺安全更新？

A：用戶需要導航到設備設置中的隱私和安全菜單，確保自動安裝選項已打開。蘋果設備默認應該自動應用后臺更新，但用戶可以選擇關閉此功能。如果關閉自動更新，用戶將需要等待下一個軟件更新。