是的，你必须再次更新你的苹果设备，因为间谍软件很糟糕

苹果公司周四为 iPhone、iPad、Mac、Apple Watch 和 Safari 用户发布了紧急安全更新，以修补苹果公司表示正在积极利用的三个漏洞。

这三个漏洞包括 WebKit（为 Safari 提供支持的浏览器引擎）中的缺陷；证书验证错误，可能允许恶意应用程序在受影响的设备上运行；第三个错误可用于更广泛地访问内核（操作系统的核心）。这三个漏洞构成了漏洞利用链的一部分，这些漏洞一起被用来获取对目标设备的访问权限。

这些错误修复是在iOS 17 发布几天后进行的，其中包括一系列新的安全和隐私功能，旨在限制间谍软件等网络攻击的风险。

苹果方面表示，它只知道针对运行 iOS 16.7 及更早版本的用户的主动利用。Apple 将该错误修复向后移植到了 iOS 16.7，以及旧版本的 macOS Ventura 和 Monterey 以及 watchOS。

这些漏洞是由 Google 威胁分析小组的研究员 Maddie Stone 和公民实验室的 Bill Marczak发现的，该小组负责调查国家支持的威胁。在周五发布的博客文章中，谷歌和公民实验室均证实，苹果公司的最新更新是为了阻止在埃及总统候选人的手机上植入 Predator 间谍软件的漏洞。

Predator 是一种间谍软件，由 Intellexa 子公司 Cytrox 开发，一旦植入，通常可以通过指向恶意网站的欺骗短信的方式窃取用户手机的内容。今年早些时候，Cytrox 和 Intellexa 都被列入美国政府的拒绝名单，实际上禁止美国公司与它们开展业务。

这是苹果本月第二次高调发布的安全更新。9 月初，Citizen Lab 表示，它在（当时）最新版 iPhone 上发现了零点击漏洞的证据，该漏洞可植入由NSO Group 开发的Pegasus 间谍软件。目标是一名为华盛顿一个未透露姓名的组织工作的人。

该漏洞被用作公民实验室命名为 BLASTPASS的漏洞利用链的一部分，因为它涉及 PassKit，这是一个允许开发人员在其应用程序中包含 Apple Pay 的框架。

Marczak 周四在 TechCrunch Disrupt 上发表讲话时表示，该漏洞是由于试图破解这位美国受害者的设备失败而造成的。

“由于这次尝试失败了，零点击漏洞的残余物留在了手机上，”Marczak 说。“在这种情况下，漏洞的根源是集成到 iPhone 中的 Google WebP 图像库中的错误。攻击者找到了一些方法来利用此漏洞在 Apple 的 iMessage 沙箱中运行任意代码，从而在系统上安装间谍软件。”

立即更新您的设备。