美國當(dāng)?shù)貢r間周一，蘋果發(fā)布了針對一個具有嚴重威脅的“零日漏洞”的安全補丁，該漏洞影響到蘋果所有產(chǎn)品，包括iPhone、iPad、Mac和Apple Watch。

蘋果表示，iPhone和iPad運行的iOS 14.8，以及Apple Watch和MacOS的更新系統(tǒng)，將修復(fù)至少一個零日漏洞，并承認該漏洞“可能已被積極利用”。

這個漏洞是加拿大多倫多大學(xué)下屬“公民實驗室”（Citizen Lab）首先發(fā)現(xiàn)的，并敦促其用戶立即更新他們的設(shè)備。它利用了蘋果iMessage中的一個漏洞，該漏洞被利用來將以色列公司NSO Group開發(fā)的“飛馬”（Pegasus）間諜軟件推送到蘋果手機上。

“飛馬”間諜軟件允許其客戶幾乎不受任何阻礙地訪問目標(biāo)的設(shè)備，包括他們的個人數(shù)據(jù)、照片、消息和位置信息。

這次發(fā)現(xiàn)的漏洞非常嚴重，因為它利用了當(dāng)時最新的iPhone軟件，包括蘋果在5月份發(fā)布的iOS 14.4和后來的iOS 14.6。同時，該漏洞也突破了蘋果在iOS 14中發(fā)布的新防御系統(tǒng)BlastDoor，這些防御系統(tǒng)本應(yīng)通過過濾潛在的惡意代碼來防止靜默攻擊。公民實驗室稱這種特殊的漏洞為ForcedEntry，因為它有能力繞過蘋果的BlastDoor保護。

在最新的調(diào)查中，公民實驗室表示，他們在一名沙特活動人士的iPhone上發(fā)現(xiàn)了ForcedEntry漏洞被利用的證據(jù)，當(dāng)時該手機運行的是最新版本的iOS。研究人員表示，這一漏洞利用了蘋果設(shè)備在顯示器上渲染圖像的弱點。到目前為止，同樣的ForcedEntry漏洞可以在所有運行最新軟件的蘋果設(shè)備上運行。

公民實驗室聲稱，他們已經(jīng)于9月7日向蘋果報告了最新發(fā)現(xiàn)。蘋果隨后推出了該漏洞的補丁，官方名稱為CVE-2021-30860。公民實驗室表示，通過之前沒有公布的證據(jù)，他們堅信NSO Group利用了ForcedEntry漏洞。

該研究人員約翰·斯科特-雷頓（John Scott-Railton）說，像iMessage這樣的即時通訊應(yīng)用越來越多地成為國家黑客行動的目標(biāo)，最新發(fā)現(xiàn)突顯了保護這些應(yīng)用程序面臨的挑戰(zhàn)。

在一份簡短的聲明中，蘋果安全工程和架構(gòu)主管伊凡·克爾斯蒂克（Ivan Krstić）證實該公司已經(jīng)發(fā)布安全補丁。他說：“在發(fā)現(xiàn)iMessage的漏洞后，蘋果迅速在iOS 14.8中開發(fā)并部署了修復(fù)程序，以保護我們的用戶。我們想贊揚公民實驗室成功地完成了非常困難的工作，獲得了這個漏洞的樣本，以便我們能夠快速開發(fā)修復(fù)程序?！?/p>

克爾斯蒂克補充稱：“像這樣的攻擊非常復(fù)雜，開發(fā)成本高達數(shù)百萬美元，通常有效期很短，而且只能被用來攻擊特定的個人。雖然這意味著它們不會對我們絕大多數(shù)用戶構(gòu)成威脅，但我們?nèi)栽诓恢＞氲乇Ｗo我們所有的客戶，我們還在不斷地為他們的設(shè)備和數(shù)據(jù)增加新的保護措施。”