2026·04·02

iOS 18.7.7，終于更新了。

4 月 2 日上午，蘋(píng)果突然推送了 iOS 18.7.7、iPadOS 18.7.7 正式版。

如之前所說(shuō)，這次更新主要是為了封堵 DarkSword 漏洞，以免用戶遭受更大的損失。

因?yàn)橹?，蘋(píng)果又鬧了個(gè)烏龍。它為 iPad 9 開(kāi)放了 iPadOS 18.7.7 的驗(yàn)證通道，即使是 iPadOS 26 也能降級(jí)。

不過(guò)通道很快就被關(guān)閉了，目前已經(jīng)無(wú)法降級(jí)。

可以看到，DarkSword 讓蘋(píng)果徹底亂了分寸，它暴露了蘋(píng)果自家的 Webkit 引擎，既不開(kāi)放，也不安全的事實(shí)。

iOS 強(qiáng)制所有瀏覽器必須使用 WebKit，第三方不能用自家引擎，用戶別無(wú)選擇。

如果不更新系統(tǒng)，用戶只需打開(kāi)一個(gè)危險(xiǎn)網(wǎng)站，黑客就能利用 DarkSord 攻擊鏈直接黑進(jìn)手機(jī)，并在短短幾分鐘內(nèi)拿走iCloud 數(shù)據(jù)、文件、筆記、錢(qián)包、照片等數(shù)據(jù)，然后抹去一切痕跡。

打完就跑，潤(rùn)物細(xì)無(wú)聲。

而且它的觸發(fā)方式非常簡(jiǎn)單，一個(gè)鏈接、一個(gè)廣告彈窗，就是攻擊入口。黑客甚至?xí)裟切┲恼?guī)網(wǎng)站，掛上 exploit，以此來(lái)降低用戶的戒心，基本上是防不勝防。

這個(gè)漏洞的危險(xiǎn)程度，要遠(yuǎn)遠(yuǎn)高于之前發(fā)布的任何漏洞。

更關(guān)鍵的是，DarkSword 的利用代碼，還在 GitHub 中開(kāi)源了。

這才區(qū)區(qū)兩三天，開(kāi)發(fā)者就利用 DarkSword 開(kāi)發(fā)出了 FontChanger。

這是一個(gè)字體替換工具，實(shí)測(cè)已經(jīng)給一臺(tái)搭載 iOS 26.0 系統(tǒng)的 iPhone SE2，更換了不同的字體。

它支持 iOS 17.0 - iOS 18.7.1，甚至 iOS 26.0 - iOS 26.0.1。iOS 26 都被突破了，天知道以后還會(huì)出什么新工具。

這可能是玩機(jī)黨的勝利，卻是普通人的大敗局。DarkSword 漏洞開(kāi)始“商用”，也意味著老系統(tǒng)不再安全。

為什么？因?yàn)?DarkSword 把蘋(píng)果的 WebKit 引擎“打穿了”。

iOS 所有瀏覽器，都采用 Webkit 這個(gè)單一引擎，第三方引擎仍未開(kāi)放，所以你換什么瀏覽器都沒(méi)用。

甚至應(yīng)用內(nèi)網(wǎng)頁(yè)，廣告組件，支付跳轉(zhuǎn)頁(yè)，都是同一套 WebKit 引擎。所有能跳轉(zhuǎn)網(wǎng)頁(yè)，啟動(dòng)網(wǎng)頁(yè)的交互，都有可能變成木馬的觸發(fā)器——而且用戶根本感知不到。

因此，對(duì)大多數(shù)人來(lái)說(shuō)，如果運(yùn)行的是 iOS 18 以下系統(tǒng)，都強(qiáng)烈建議更新到 iOS 18.7.7，或者 iOS 26.3 以上。

因?yàn)?，即使你知道這個(gè)漏洞的原理、影響、后果，也無(wú)法永遠(yuǎn)規(guī)避風(fēng)險(xiǎn)。還是更新系統(tǒng)吧，至少心里踏實(shí)。