舊版 iOS 與 Android 被利用的已知漏洞，以及封閉模式的繞過宣稱

資安公司 Sekoia 在 11 月 4 日公布一起水坑式攻擊（watering hole，入侵目標可能造訪的網站，等訪客上門）的調查。攻擊者在網站裡放進程式碼，依訪客手機的系統與瀏覽器版本送出對應的攻擊程式。iPhone 與 Android 手機都在範圍內，Android 這一側針對舊版 Chrome 與高通晶片的驅動。依 Sekoia 的報告，用到的漏洞全部已經修補，系統更新到最新的手機不受影響。

與 Sekoia 的調查無關，研究團隊 Calif 在 11 月 3 日另外貼出影片，宣稱在開著封閉模式（Lockdown Mode，Apple 給少數高風險使用者的強化防護）的 iPhone 18 Pro 上執行了攻擊程式。到 11 月 8 日為止，Calif 只公布了影片、沒有技術細節，也查不到 Apple 的回應或修補。

根據報告，Sekoia 在 2026 年 10 月中發現美國、烏克蘭、捷克與保加利亞幾個高知名度的網站被入侵或被複製。攻擊者用了三種途徑，直接在網站裡插入 JavaScript、架設冒充原網站的代理伺服器，以及在 8 月 27 日到 9 月 3 日之間入侵烏克蘭網站分析服務 Plerdy 的追蹤碼（許多網站嵌入、用來統計訪客行為的程式碼）。報告內文寫這段追蹤碼被數千個網站載入，大多在烏克蘭。前言另外寫到，入侵的那一週有數百個合法網站暴露在攻擊程式之下。

三種途徑最後都會載入同一段辨識訪客瀏覽器與裝置的腳本，再依版本送出對應的漏洞利用鏈，過程不需要使用者操作。報告列出三條利用鏈，兩條針對 iOS 16.7 與 iOS 18.5，一條針對 Android 版 Chrome 139 到 145（不含 143）。iPhone 上被取走的是 cookie（網站存在瀏覽器裡、用來記住登入狀態的資料）或完整的裝置資料，Android 上是 Chrome 的資料與 Wi-Fi 密碼，攻擊程式不會常駐在手機上。Sekoia 研判取得的資料符合情報蒐集的目的，攻擊者可能藉著 cookie 沿用登入狀態，進入網頁郵件這類服務。

報告以中到高的信心研判這起活動出自 APT29，依據是技術、手法、受害者與基礎設施的重疊。依報告，APT29 普遍被認為隸屬俄羅斯對外情報局，漏洞利用程式則可能來自第三方。被入侵的網站包括烏克蘭的能源公司、美國的產業公會、歐洲的政黨與保加利亞的軍事相關網站。攻擊者鎖定的是特定網站的訪客，還是想盡量多取得沒更新的手機資料，報告發布時仍不清楚。

Sekoia 列出的 iOS 漏洞，Apple 在 2024 年 5 月到 2026 年 2 月之間陸續修補，最晚的一項在 iOS 26.3。Chrome 的漏洞在 2026 年 3 月的桌面版 Chrome 146 修補，Sekoia 所稱的高通 Adreno 繪圖晶片驅動漏洞，列在 2025 年 8 月 Android 安全性公告的高通元件。

針對 iOS 16.7 的利用鏈用了兩個漏洞，Sekoia 寫這條鏈在 iOS 16.0 到 17.4 應該都能成立。其中 CVE-2024-27834 已在 2024 年 5 月的 iOS 16.7.8 修補。另一個 CVE-2025-43529，本文查了 Apple 在 2025 年 9 月到 2026 年 5 月給 iOS 16.7 的其中三份安全性內容頁，都沒有列出。Sekoia 沒有寫補上其中一個之後這條鏈還能否成立，本文也無法替 Sekoia「每個漏洞都在活動開始前修補」的說法確認這條舊版線。

依 Privacy Guides 與 MacRumors 對影片的描述，攻擊者用 AirDrop 把一份惡意 PDF 傳到 iPhone 18 Pro 開始越獄（解除 iOS 的限制、取得更高的權限）。接著手機更新到 iOS 27.2，越獄在更新之後仍在。MacRumors 另外寫到，影片裡的檔案是使用者接受的，越獄能否直接裝在已經是 iOS 27.2 的手機上並不清楚。依 MacRumors 的報導，Calif 先前表示會把漏洞通報給 Apple，也不打算釋出給一般使用者的越獄工具。

MacTrast 的報導寫到，這類影片在 AI 生成影片普及之後容易偽造，越獄也可能在錄影之前就已經裝好。與 Calif 的影片無關，Apple 更早在 3 月 27 日給 TechCrunch 的回覆是，沒有掌握任何開啟封閉模式的裝置遭傭兵間諜軟體攻破的案例。Apple 安全性發布頁列出的最新版本是 10 月 26 日發布的 iOS 27.2，早於 Calif 的影片。

導讀觀點

Sekoia 用的是 n-day 漏洞，也就是廠商已經公布並修補、但還有裝置沒更新的漏洞，有別於廠商還不知道的零時差漏洞。攻擊能不能成功，取決於訪客的手機停在哪個版本。Apple 的安全性發布頁把持續更新列為維護裝置安全最重要的措施之一。Google 的 Android 說明頁則提醒，更新的時程依裝置、製造商與電信業者而不同，舊款裝置不一定能升級到新版。

iPhone 的更新在「設定」、「一般」、「軟體更新」，同一頁可以開啟自動更新，手機會在充電且連上 Wi-Fi 的夜間安裝。依 Apple 的安全性發布頁，到 11 月 8 日為止，iPhone 11 與之後的機型可以更新到 iOS 27.2。Apple 也替較舊的系統線發布了 iOS 26.7.2，以及給 iPhone XS、XS Max 與 XR 的 iOS 18.7.11，三個版本都在 10 月 26 日發布。

依 Google 的英文說明頁，Android 手機的系統更新在「設定」App 的 System、Software updates，安全性更新的日期在 About phone 裡。中文介面與各廠牌的名稱可能不同，Chrome 則另外透過 Play 商店的 Manage apps & device 更新。依 iThome 的報導，Sekoia 呼籲使用者儘速更新作業系統與瀏覽器。

依 Apple 的說明頁，封閉模式是為極少數因身分或工作可能成為高度精密攻擊目標的人設計的，大多數人永遠不會遇到這類攻擊。開啟之後，大部分訊息附件會被擋下（特定影像、視訊與音訊除外），連結預覽也無法使用。部分網站可能變慢或無法正常運作，iPhone 也會關閉 2G 與 3G 行動網路。說明頁同時建議先把裝置更新到最新再開啟，才有完整的保護。

依 MacRumors 的描述，影片裡的攻擊從使用者接受一份 AirDrop 傳來的 PDF 開始。本文從這個條件推論，不接受陌生來源的 AirDrop 檔案，可以避開影片裡的這種情境。Calif 沒有公布細節，其他途徑能不能達到同樣的效果並不清楚，Apple 的說明頁也沒有提到封閉模式對 AirDrop 或 PDF 的限制。

依 Google 的英文說明頁，Android 有類似的進階保護（Advanced Protection），開啟前需要先設定螢幕鎖定。路徑在「設定」的 Security & Privacy 裡 Other settings 底下的 Advanced Protection，開啟 Device protection 之後 Google Play Protect 無法關閉、未知來源的 App 會被擋下，Chrome 的 JavaScript 最佳化與 WebGPU（讓網頁直接使用顯示晶片運算的介面）也會關閉。代價是記憶體標記擴充（MTE）可能讓手機變慢，只有 2G 訊號的地方也可能無法連上行動網路。Google 的說明頁沒有寫這些功能能否擋下 Sekoia 列出的利用鏈。

Calif 的宣稱到 11 月 8 日為止無法驗證，也查不到 Apple 的回應，iOS 27.2 之後沒有新的更新可以安裝。之後可以看 Apple 是否發布修補或回應，以及 Calif 是否公開技術細節。Privacy Guides 的報導估計，細節可能要等 Apple 發布修補、使用者有時間安裝之後才會公布。

還沒更新的手機打開設定看一次版本就能判斷，依 Sekoia 的報告，更新可以擋下這次用到的已修補漏洞。iPhone 對照上面三個版本，停在 iOS 16 的人可以更新到本文查到最新的 iOS 16.7.16（2026 年 5 月 11 日發布）。本文依報告列出的版本範圍推出 Android 的對照，安全性更新的日期早於 2025 年 8 月的公告或 Chrome 在 139 到 145 之間，就落在報告列的範圍。Android 版 Chrome 修補這個漏洞的版本，本文查不到。