HackerNews 编译，转载请注明出处： 苹果已发布首个 “后台安全改进” 更新，用于修复 iPhone、iPad 和 Mac 上编号为 CVE – 2026 – 20643 的 WebKit 漏洞，且无需进行完整的操作系统升级。 CVE – 2026 – 20643 漏洞可让恶意网页内容绕过浏览器的同源策略。苹果表示，该漏洞是导航 API 中的一个跨源问题，已通过改进输入验证的方式加以解决。 此漏洞由安全研究员托马斯・埃斯帕赫发现，新更新适用于 iOS 26.3.1、iPadOS 26.3.1、macOS 26.3.1 和 macOS 26.3.2 系统。 此次发布是苹果首次通过其新的 “后台安全改进” 功能推送安全修复程序。该功能用于在正常安全更新周期之外，提供小规模的非同步补丁。 苹果解释称：“‘后台安全改进’为 Safari 浏览器、WebKit 框架栈及其他系统库等组件提供轻量级安全更新，这些组件受益于软件更新之间的小型持续性安全补丁。” “在极少数兼容性问题的情况下，‘后台安全改进’更新可能会被暂时移除，然后在后续的软件更新中进行强化。” 过去，苹果的安全更新要求用户安装新的操作系统版本并重启设备。然而，借助 “后台安全改进” 功能，苹果现在可以在后台为特定组件提供小规模更新。 苹果在 iOS 26.1、iPadOS 26.1 和 macOS 26.1 中添加了这一功能，称其旨在快速修复版本发布期间的安全漏洞。 用户可通过设备设置中的 “隐私与安全” 菜单访问该功能。在 iPhone 和 iPad 上，进入 “设置”，然后点击 “隐私与安全”；在 Mac 上，从苹果菜单中选择 “系统设置”，然后点击 “隐私与安全”。 苹果警告称，卸载 “后台安全改进” 更新会移除所有先前应用的后台补丁，将设备恢复到基础操作系统版本（如 iOS 26.3.1），且不包含任何增量安全修复。这实际上会移除通过该功能提供的快速响应安全保护，使设备处于基础安全级别，直到重新应用更新或在未来的完整更新中包含这些更新。 因此，除非基础安全改进在您的设备上引发问题，否则强烈建议不要卸载。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Apple 于周四宣布，iPhone 和 iPad 已获得北约批准用于处理涉密信息，并被列入该军事联盟的信息保障产品目录（NIAPC）。 该科技巨头表示，其手机和平板是首款获得该级别认证的消费类设备，具体为北约受限级（NATO RESTRICTED）。 NIAPC 是北约官方认证通过的网络安全产品登记目录，联盟成员国及其军事、民用机构可使用这些产品满足关键的业务安全需求。 NIAPC 对列入目录的安全产品实施严格准入规则：产品通常必须来自北约国家、持有认可认证、获得国家主管机构批准，并证明符合北约市场适用性。认证采用逐案酌情审批制，违规行为将面临被移除目录或暂停资格的风险。 列入 NIAPC 后，iPhone 和 iPad 可直接用于处理涉密信息，无需额外专用软件或配置。目录明确说明，iOS 和 iPadOS 原生的邮件、日历和通讯录应用可提供安全的数据访问能力。 Apple 表示，在此之前，iPhone 和 iPad 已通过德国联邦信息安全办公室（BSI）评估，获得处理德国政府涉密数据的批准。BSI 开展的测试同时确保了这些设备符合北约安全要求。 BSI 主席 Claudia Plattner 表示：“只有在移动产品开发之初就将信息安全纳入考量，安全的数字化转型才能成功。” “在 BSI 针对德国涉密信息环境使用的 iOS 和 iPadOS 平台及设备安全进行严格审核的基础上，我们很高兴确认其符合北约各国的信息保障要求。” NIAPC 目录中注明了 “indigo configuration”，但 Apple 澄清这只是 BSI 在评估期间指定的名称。该公司指出，获得北约批准的是标准设备配置。 此外，尽管北约目录中提及 iOS 26 和 iPadOS 26，但 Apple 表示 BSI 实际是在更早版本的操作系统上完成测试的。   消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：  苹果核心合作代工厂立讯精密，负责苹果手机、耳机、手表及头显设备的组装业务，据称已遭遇某勒索软件犯罪集团发起的网络攻击。黑客威胁，若立讯精密拒绝支付赎金，就将外泄苹果、英伟达及 LG等企业的机密数据。 据称，立讯精密的数据泄露事件发生于上月，黑客声称在2025年12月15日就已将这家苹果核心合作伙伴的相关数据加密。此次攻击的疑似发起者 —— 黑客组织RansomHub，已在其暗网论坛上公开了这起数据泄露事件。 立讯精密是苹果公司的重要合作伙伴。包括iPhone、AirPods、Apple Watch在内的多款苹果产品均由立讯精密负责组装，这意味着该公司掌握着苹果产品大量核心机密信息。 黑客在暗网中宣称：“我们已经等了贵公司很久，但贵公司的信息技术部门似乎打算隐瞒这场安全事故。我们强烈建议贵公司尽快与我们取得联系，以免贵公司的机密数据和项目文件遭到外泄。” 黑客发布立讯精密数据泄露声明的截图图片 图源：Cybernews 立讯精密数据泄露事件泄露了哪些信息？ Cybernews 的研究团队对黑客在帖文中附带的数据样本展开了调查分析。 该团队证实，泄露数据中包含苹果与立讯精密合作的设备维修及物流运输等机密项目的详细信息，涵盖项目时间规划、具体流程，以及立讯精密其他客户的相关资料。 此外，泄露信息中还包含参与特定项目的员工个人身份信息，涉及员工姓名、职位及工作邮箱等敏感内容。 苹果与立讯精密合作项目的疑似机密信息截图图片 图源：Cybernews 网站 研究团队进一步解释道：“这些项目的时间跨度从2019 年至2025年，相关信息涉及企业高度敏感的商业运营内容。此外，数据中还包含 .dwg和Gerber文件，这些文件通常用于创建产品模型设计。” 尽管立讯精密的数据泄露事件尚未得到官方证实，但研究团队认为，黑客在帖文中公布的信息真实性较高。 参与苹果项目的立讯精密员工疑似信息截图 图源：Cybernews 攻击者声称掌握的数据内容 RansomHub声称其已广泛访问立讯精密客户的机密数据，被盗数据涵盖从3D产品模型到电路板设计资料，这些都是企业间谍高度觊觎的信息。 据攻击者称，他们掌握的档案包括： 机密3D CAD产品模型、3D工程设计数据与工程文档 Parasolid产品的高精度几何数据 用于制造的2D组件图纸 机械部件图纸 PDF格式的机密工程图 电子设计文档 电气与布局架构数据 印刷电路板制造数据 攻击者宣称：“这些档案包含来自 苹果、英伟达，以及 LG、吉利、特斯拉等多家大型公司的数据，这些公司的生产和研发信息均受保密协议保护。” 一旦此事得到证实，这场攻击对立讯精密及其合作企业而言，都将是一场灾难。 一方面，黑客可能将窃取的数据出售给竞争对手，后者可借助这些资料反向研发产品，省去数年的研发投入，甚至制造仿冒产品。 另一方面，此次事件还将引发严重的网络安全隐患。黑客可通过这些数据精准找出设备的硬件漏洞、芯片位置及供电系统信息，进而针对性地攻击设备固件，或发起供应链攻击。 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果公司周五针对iOS、iPadOS、macOS、tvOS、watchOS、visionOS及其Safari网络浏览器发布了安全更新，以修复两个已被在野利用的安全漏洞。其中一个漏洞与谷歌本周初在Chrome浏览器中修复的漏洞相同。 漏洞信息如下： CVE-2025-43529（CVSS评分：暂无）：WebKit中的释放后使用漏洞，处理恶意构造的网页内容时可能导致任意代码执行。 CVE-2025-14174（CVSS评分：8.8）：WebKit中的内存损坏问题，处理恶意构造的网页内容时可能导致内存损坏。 苹果表示已意识到这些缺陷“可能已在针对iOS 26之前版本的特定目标个体的高度复杂攻击中被利用”。值得注意的是，CVE-2025-14174正是谷歌于2025年12月10日在其Chrome浏览器中修复的同一漏洞。谷歌将其描述为其开源图形层引擎库的Metal渲染器中存在的越界内存访问问题。 苹果安全工程与架构团队和谷歌威胁分析小组因发现并报告CVE-2025-14174漏洞获得致谢，而CVE-2025-43529漏洞由谷歌TAG发现。 考虑到这两个漏洞均影响WebKit渲染引擎（iOS和iPadOS上所有第三方浏览器包括Chrome、Microsoft Edge、Mozilla Firefox等均使用该引擎），它们很可能被用于高度定向的商业间谍软件攻击。 漏洞已在以下版本和设备中修复： iOS 26.2与iPadOS 26.2：iPhone 11及更新机型、第三代12.9英寸iPad Pro及更新机型、第一代11英寸iPad Pro及更新机型、第三代iPad Air及更新机型、第八代iPad及更新机型、第五代iPad mini及更新机型 iOS 18.7.3与iPadOS 18.7.3：iPhone XS及更新机型、13英寸iPad Pro、第三代12.9英寸iPad Pro及更新机型、第一代11英寸iPad Pro及更新机型、第三代iPad Air及更新机型、第七代iPad及更新机型、第五代iPad mini及更新机型 macOS Tahoe 26.2：运行macOS Tahoe的Mac电脑 tvOS 26.2：Apple TV HD与Apple TV 4K（所有型号） watchOS 26.2：Apple Watch Series 6及更新机型 visionOS 26.2：Apple Vision Pro（所有型号） Safari 26.2：运行macOS Sonoma与macOS Sequoia的Mac电脑 通过此次更新，苹果已在2025年累计修复了九个在野被利用的零日漏洞，包括CVE-2025-24085、CVE-2025-24200、CVE-2025-24201、CVE-2025-31200、CVE-2025-31201、CVE-2025-43200和CVE-2025-43300。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果公司确认，谷歌旗下一款名为 “Big Sleep” 的人工智能（AI）网络安全代理工具，在其 Safari 浏览器所使用的 WebKit 组件中发现了 5 个不同的安全漏洞。这些漏洞若被成功利用，可能导致浏览器崩溃或内存损坏。 具体漏洞信息如下： CVE-2025-43429：缓冲区溢出漏洞，处理恶意构造的网页内容时可能导致进程意外崩溃（已通过改进边界检查修复） CVE-2025-43430：未明确说明的漏洞，处理恶意构造的网页内容时可能导致进程意外崩溃（已通过改进状态管理修复） CVE-2025-43431 及 CVE-2025-43433：两个未明确说明的漏洞，处理恶意构造的网页内容时可能导致内存损坏（已通过改进内存处理修复） CVE-2025-43434：释放后使用漏洞，处理恶意构造的网页内容时可能导致 Safari 浏览器意外崩溃（已通过改进状态管理修复） 苹果已于本周一（11 月 3 日）发布相关漏洞补丁，该补丁包含在 iOS 26.1、iPadOS 26.1、macOS Tahoe 26.1、tvOS 26.1、watchOS 26.1、visionOS 26.1 及 Safari 26.1 等系统更新中。以下设备及操作系统可获取该更新： iOS 26.1 与 iPadOS 26.1：iPhone 11 及后续机型、12.9 英寸 iPad Pro（第三代及后续机型）、11 英寸 iPad Pro（第一代及后续机型）、iPad Air（第三代及后续机型）、iPad（第八代及后续机型）、iPad mini（第五代及后续机型） macOS Tahoe 26.1：运行 macOS Tahoe 系统的 Mac 电脑 tvOS 26.1：Apple TV 4K（第二代及后续机型） visionOS 26.1：所有型号的 Apple Vision Pro watchOS 26.1：Apple Watch Series 6 及后续机型 Safari 26.1：运行 macOS Sonoma 和 macOS Sequoia 系统的 Mac 电脑 “Big Sleep” 前身为 “Project Naptime（午睡项目）”，是谷歌于去年推出的 AI 代理工具，由 DeepMind 与谷歌 Project Zero 团队联合研发，旨在实现自动化漏洞发现功能。该工具采用多智能体协作架构，模拟人类安全专家的分析流程，漏洞验证准确率达 92%，效率较人工审计提升 300 倍，已成功应用于多个关键开源项目的安全加固。 今年早些时候，谷歌曾披露该大型语言模型辅助框架在 SQLite 数据库中发现一个安全漏洞（CVE-2025-6965，CVSS 评分 7.2），并指出该漏洞 “存在被恶意攻击者利用的风险”。这一漏洞是栈缓冲区下溢漏洞，传统模糊测试工具未能检测到，而 Big Sleep 通过分析代码提交记录成功发现，成为 AI 代理工具首次在实际环境中发现可利用内存安全漏洞的案例。 尽管苹果本周一发布的安全公告中所列漏洞均未被标记为在野利用，但保持设备更新至最新版本始终是保障安全的最佳实践，可实现最优防护效果。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果公司在周一宣布了iOS和macOS平台的重大更新，并修复了一个在旧平台上被利用的漏洞。共修复了50多个漏洞。 iOS 26和iPadOS 26为最新一代iPhone和iPad设备发布，修复了27个独特的CVE漏洞，这些漏洞可能导致内存损坏、信息泄露、崩溃和沙箱逃逸。 WebKit是修复最多的组件，共修复了5个安全缺陷，这些缺陷可能导致进程崩溃、Safari崩溃，或者允许网站在未经同意的情况下访问传感器信息。 iOS更新还修复了Apple Neural Engine、蓝牙、CoreAudio、CoreMedia、内核、Safari、沙箱、Siri、系统等十几个组件中的漏洞。 苹果公司发布了macOS Tahoe 26，修复了38个独特的CVE漏洞，其中11个漏洞也在iOS 26和iPadOS 26中得到了修复。 受影响最严重的组件包括WebKit（修复了5个漏洞）、AppleMobileFileIntegrity和SharedFileList（各修复了4个问题）、蓝牙和沙箱（各修复了3个漏洞）。 其他修复的组件还包括AppKit、AppSandbox、ATS、CoreMedia、CoreServices、FaceTime、Foundation、GPU驱动程序、ImageIO、通知中心、RemoteViewServices、安全初始化、Spotlight和StorageKit。 周一，苹果还发布了iOS 18.7和iPadOS 18.7，修复了12个安全缺陷，并推出了iOS 16.7.12、iPadOS 16.7.12、iOS 15.8.5和iPadOS 15.8.5，修复了CVE-2025-43300漏洞。这是一个ImageIO漏洞，曾在针对WhatsApp用户的攻击中被利用。苹果在8月20日首次发布了针对该漏洞的补丁。 苹果还为macOS Sequoia 15.7和macOS Sonoma 14.8发布了大量补丁，并发布了tvOS 26、watchOS 26和visionOS 26，每个系统都修复了近二十个漏洞。 Safari 26修复了七个安全缺陷，而Xcode 26修复了五个漏洞。 除了CVE-2025-43300外，苹果没有提到其他已修复的漏洞在野外被利用的情况。更多信息可以在公司的安全发布页面找到。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 周一，苹果公司推出了一项回溯修复补丁，针对此前已修复、但在现实场景中被活跃利用的安全漏洞。 此次涉及的漏洞编号为CVE-2025-43300（CVSS 评分：8.8），属于 ImageIO 组件中的 “越界写入” 问题。当设备处理恶意图像文件时，该漏洞可能导致内存损坏。 苹果公司表示：“我们已知悉相关报告，该漏洞可能已被用于针对特定个人的极为复杂的攻击中。” 此后，WhatsApp 也确认，其苹果 iOS 和 macOS 平台的即时通讯应用中存在一个漏洞（漏洞编号：CVE-2025-55177，CVSS 评分：5.4），该漏洞与 CVE-2025-43300 被 “链式利用”，成为针对不到 200 人的高度定向间谍软件攻击的一部分。 此前，苹果已于上月末首次针对该漏洞推出修复，当时发布的系统版本包括 iOS 18.6.2、iPadOS 18.6.2、iPadOS 17.7.10、macOS Ventura 13.7.8、macOS Sonoma 14.7.8 以及 macOS Sequoia 15.6.1。目前，苹果已为以下旧款设备的系统版本推送该漏洞的修复更新： iOS 16.7.12 和 iPadOS 16.7.12：适用设备包括 iPhone 8、iPhone 8 Plus、iPhone X、第 5 代 iPad、9.7 英寸 iPad Pro 以及第 1 代 12.9 英寸 iPad Pro。 iOS 15.8.5 和 iPadOS 15.8.5：适用设备包括 iPhone 6s（所有机型）、iPhone 7（所有机型）、第 1 代 iPhone SE、iPad Air 2、第 4 代 iPad mini 以及第 7 代 iPod touch。 此次漏洞修复更新与多个系统版本同步推送，包括 iOS 26、iPadOS 26、iOS 18.7、iPadOS 18.7、macOS Tahoe 26、macOS Sequoia 15.7、macOS Sonoma 14.8、tvOS 26、visionOS 26、watchOS 26、Safari 26 以及 Xcode 26。这些新版本同时修复了其他多项安全漏洞，具体如下： CVE-2025-31255：IOKit 组件中的授权漏洞，可能允许应用访问敏感数据。 CVE-2025-43362：LaunchServices 组件中的漏洞，可能允许应用在未经用户许可的情况下监控键盘输入。 CVE-2025-43329：沙盒（Sandbox）中的权限漏洞，可能允许应用突破沙盒限制。 CVE-2025-31254：Safari 浏览器中的漏洞，处理恶意构造的网页内容时可能导致意外的 URL 重定向。 CVE-2025-43272：WebKit 引擎中的漏洞，处理恶意构造的网页内容时可能导致 Safari 意外崩溃。 CVE-2025-43285：应用沙盒（AppSandbox）中的权限漏洞，可能允许应用访问受保护的用户数据。 CVE-2025-43349：CoreAudio 组件中的越界写入问题，处理恶意构造的视频文件时可能导致应用意外终止。 CVE-2025-43316：DiskArbitration 组件中的权限漏洞，可能允许应用获取 root 权限（最高系统权限）。 CVE-2025-43297：电源管理（Power Management）中的类型混淆漏洞，可能导致拒绝服务（设备无法正常提供服务）。 CVE-2025-43204：RemoteViewServices 组件中的漏洞，可能允许应用突破沙盒限制。 CVE-2025-43358：快捷指令（Shortcuts）中的权限漏洞，可能允许快捷指令绕过沙盒限制。 CVE-2025-43333：聚焦搜索（Spotlight）中的权限漏洞，可能允许应用获取 root 权限。 CVE-2025-43304：StorageKit 组件中的竞争条件漏洞，可能允许应用获取 root 权限。 CVE-2025-48384：Xcode 中的 Git 漏洞，克隆恶意构造的代码仓库时可能导致远程代码执行。 目前尚无证据表明上述任何漏洞已在现实攻击中被 “武器化”（即被用于实际攻击），但保持系统更新始终是保障设备安全的最佳实践，可实现最优防护效果。    消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国计算机应急响应团队（CERT-FR）发布新闻稿称，苹果公司针对间谍软件发起的威胁通知行动不容忽视。 自 2021 年起，苹果公司已多次向遭受间谍软件攻击的目标用户发出通知，涉及的间谍软件包括 “飞马”（Pegasus）、“掠食者”（Predator）、“石墨”（Graphite）及 “三角测量”（Triangulation）等。事实证明，记者、律师、活动人士、政界人士、高级公务员以及战略行业管理委员会成员，是威胁行为者的主要攻击目标。 若用户通过 iMessage（苹果即时通信软件）或电子邮件收到来自苹果公司的通知，则意味着其 iCloud 账号关联的至少一台设备已遭入侵。用户登录 iCloud 账号时，会看到该预警提示。 CERT-FR 在公开声明中表示：“务必及时重视此类通知，并采取相应的应对措施。”该机构建议，任何收到苹果警告的用户应立即联系 CERT-FR 以获取技术支持，同时需保存苹果发送的通知邮件，且避免对设备进行任何操作更改，例如重置设备、删除应用程序、安装更新或重启设备。此类操作可能会对间谍软件的调查工作造成阻碍。 为降低间谍软件攻击风险，CERT-FR 建议用户尽快将 iPhone 系统更新至苹果最新操作系统版本，通过这种方式修复正被间谍软件利用的零日漏洞，安全更新操作也应遵循此原则。 此外，CERT-FR 还建议用户将个人设备与工作设备分开使用，并定期重启 iPhone。 从更普遍的安全防护角度出发，用户不应点击可疑链接或附件，应设置强度高且唯一的访问密码，在条件允许时启用双重认证（2FA），同时避免安装来源不明的应用程序或从非官方应用商店下载应用。 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Oligo Security分享了一种苹果CarPlay攻击的细节，黑客可能无需任何交互即可发起此类攻击。 研究人员披露了一种远程CarPlay攻击的细节，该攻击可使攻击者监视驾驶员或使他们分心。 运行时应用程序安全公司Oligo今年早些时候透露，其研究人员发现了苹果AirPlay无线通信协议及配套SDK中存在的潜在严重漏洞，并警告称这些漏洞可能使黑客能够远程控制设备。 AirPlay被苹果产品使用，但这家科技巨头也已将其使用授权给其他供应商，后者已将其应用于电视、音响系统和流媒体设备中。 Oligo当时指出，这些被统称为AirBorne的漏洞可被利用来实现远程代码执行、安全绕过、信息泄露、拒绝服务攻击以及中间人攻击。 其中一个漏洞（CVE-2025-24132）使攻击者能够创建可蠕虫化的零点击远程代码执行漏洞利用程序，从而利用受感染设备作为发起额外攻击的跳板。 Oligo当时提到，攻击者也可以无需任何用户交互即可对CarPlay系统发起攻击。该公司现在已分享了有关CarPlay（具体为苹果CarPlay）攻击的更多细节。 该攻击针对的是CarPlay用于建立无线连接的iAP2协议。iAP2采用单向认证，手机会对车辆信息娱乐系统的主机进行认证，但主机不会对手机进行认证。 “简单来说，汽车会检查其是否与合法设备通信，但该设备会接受任何使用iAP2的客户端。这意味着攻击者如果拥有蓝牙无线电设备和兼容的iAP2客户端，就可以伪装成iPhone，请求WiFi凭据，触发应用程序启动并发出任何iAP2命令。”Oligo解释道。 一旦黑客完成蓝牙配对过程，他们就可以通过iAP2进行认证，获取WiFi凭据，并连接到汽车热点。从那里，他们可以利用上述AirPlay SDK漏洞（CVE-2025-24132）实现具有root权限的远程代码执行。 然后，攻击者可以接管屏幕并显示图像或播放音频以分散驾驶员的注意力。攻击者还可以窃听对话或追踪车辆的位置。 苹果公司在4月底修复了CVE-2025-24132漏洞，但只有少数供应商将该修复程序集成到其产品中，Oligo并不知晓有任何汽车制造商应用了该修复程序，这也是为什么它尚未公开完整的细节。 “即使苹果发布了修复后的SDK，每家汽车制造商也必须针对其自身系统对其进行调整、测试和验证——这需要与主机供应商、内部软件团队以及有时是中间件提供商进行协调。每一步都可能带来潜在的延误，并需要进行有力的协作。”Oligo解释道。 “结果就是存在长期的漏洞暴露风险。”它补充道。“虽然高端车型凭借强大的OTA更新通道可能能够快速完成修复，但许多其他车型可能需要数月、数年，甚至根本无法获得更新。这使得数百万辆汽车可能面临风险——尽管官方修复方法早已存在。”       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 据法国国家计算机应急响应小组（CERT-FR）消息，苹果公司上周警告客户，他们的设备成为了一系列新的间谍软件攻击的目标。 CERT-FR由法国国家网络安全局（ANSSI）运营，负责防范和减轻对公共机构和关键组织产生影响的网络安全相关事件。 根据周四发布的一份咨询报告，CERT-FR已知至少有四起苹果威胁通知事件，这些通知提醒该公司用户，自今年年初以来，他们一直是雇佣兵间谍软件攻击的目标。 这些警告分别于3月5日、4月29日、6月25日和上周的9月3日发送至用户苹果账户关联的电话号码和电子邮箱地址。据苹果公司介绍，这些警告也会在用户登录其苹果账户（https://account.apple.com）后，在页面顶部显示。 “这些通知报告了高度复杂的攻击行为，其中大多数利用了零日漏洞，或者根本不需要用户交互。”网络安全机构表示。 “这些复杂的攻击针对的是个人，原因在于他们的身份或职务：记者、律师、活动人士、政治家、高级官员、战略部门管理层成员等。” “收到通知意味着与iCloud账户关联的至少一台设备已成为攻击目标，并可能已被入侵。” 尽管CERT-FR没有透露引发这些警告的具体信息，但上个月，苹果公司发布了紧急更新，以修复一个零日漏洞（CVE-2025-43300），该漏洞与WhatsApp零点击漏洞（CVE-2025-55177）串联，公司将其描述为“极为复杂的攻击”。 当时，WhatsApp向可能受影响的个人发送了威胁通知，敦促他们将设备恢复出厂设置，并保持设备的操作系统和软件为最新版本。 苹果公司还建议，遭受雇佣兵间谍软件攻击的用户启用锁定模式，并通过Access Now的数字安全热线申请快速响应紧急安全援助。 “自2021年以来，我们每年多次发送苹果威胁通知，因为我们已经检测到这些攻击，迄今为止，我们已经在150多个国家/地区通知了用户。”苹果公司表示，“苹果公司并未将这些攻击或由此产生的威胁通知归因于任何特定的攻击者或地理区域。” 当BleepingComputer在今天早些时候联系时，苹果公司发言人并未立即发表评论。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文