旧版 iOS 与 Android 被利用的已知漏洞，以及锁定模式的绕过宣称

安全公司 Sekoia 在 11 月 4 日公布一起水坑式攻击（watering hole，入侵目标可能访问的网站，等访客上门）的调查。攻击者在网站里放进代码，依访客手机的系统与浏览器版本送出对应的攻击程序。iPhone 与 Android 手机都在范围内，Android 这一侧针对旧版 Chrome 与高通芯片的驱动。依 Sekoia 的报告，用到的漏洞全部已经修补，系统更新到最新的手机不受影响。

与 Sekoia 的调查无关，研究团队 Calif 在 11 月 3 日另外贴出视频，宣称在开着锁定模式（Lockdown Mode，Apple 给少数高风险用户的强化防护）的 iPhone 18 Pro 上运行了攻击程序。到 11 月 8 日为止，Calif 只公布了视频、没有技术细节，也查不到 Apple 的回应或修补。

根据报告，Sekoia 在 2026 年 10 月中发现美国、乌克兰、捷克与保加利亚几个高知名度的网站被入侵或被复制。攻击者用了三种途径，直接在网站里插入 JavaScript、架设冒充原网站的代理服务器，以及在 8 月 27 日到 9 月 3 日之间入侵乌克兰网站分析服务 Plerdy 的追踪代码（许多网站嵌入、用来统计访客行为的代码）。报告内文写这段追踪代码被数千个网站加载，大多在乌克兰。前言另外写到，入侵的那一周有数百个合法网站暴露在攻击程序之下。

三种途径最后都会加载同一段识别访客浏览器与设备的脚本，再依版本送出对应的漏洞利用链，过程不需要用户操作。报告列出三条利用链，两条针对 iOS 16.7 与 iOS 18.5，一条针对 Android 版 Chrome 139 到 145（不含 143）。iPhone 上被取走的是 cookie（网站存在浏览器里、用来记住登录状态的数据）或完整的设备数据，Android 上是 Chrome 的数据与 Wi-Fi 密码，攻击程序不会常驻在手机上。Sekoia 研判取得的数据符合情报搜集的目的，攻击者可能借着 cookie 沿用登录状态，进入网页邮箱这类服务。

报告以中到高的信心研判这起活动出自 APT29，依据是技术、手法、受害者与基础设施的重叠。依报告，APT29 普遍被认为隶属俄罗斯对外情报局，漏洞利用程序则可能来自第三方。被入侵的网站包括乌克兰的能源公司、美国的行业协会、欧洲的政党与保加利亚的军事相关网站。攻击者锁定的是特定网站的访客，还是想尽量多取得没更新的手机数据，报告发布时仍不清楚。

Sekoia 列出的 iOS 漏洞，Apple 在 2024 年 5 月到 2026 年 2 月之间陆续修补，最晚的一项在 iOS 26.3。Chrome 的漏洞在 2026 年 3 月的桌面版 Chrome 146 修补，Sekoia 所称的高通 Adreno 图形芯片驱动漏洞，列在 2025 年 8 月 Android 安全公告的高通组件。

针对 iOS 16.7 的利用链用了两个漏洞，Sekoia 写这条链在 iOS 16.0 到 17.4 应该都能成立。其中 CVE-2024-27834 已在 2024 年 5 月的 iOS 16.7.8 修补。另一个 CVE-2025-43529，本文查了 Apple 在 2025 年 9 月到 2026 年 5 月给 iOS 16.7 的其中三份安全内容页，都没有列出。Sekoia 没有写补上其中一个之后这条链还能否成立，本文也无法替 Sekoia“每个漏洞都在活动开始前修补”的说法确认这条旧版线。

依 Privacy Guides 与 MacRumors 对视频的描述，攻击者用 AirDrop 把一份恶意 PDF 传到 iPhone 18 Pro 开始越狱（解除 iOS 的限制、取得更高的权限）。接着手机更新到 iOS 27.2，越狱在更新之后仍在。MacRumors 另外写到，视频里的文件是用户接受的，越狱能否直接装在已经是 iOS 27.2 的手机上并不清楚。依 MacRumors 的报道，Calif 先前表示会把漏洞通报给 Apple，也不打算发布给一般用户的越狱工具。

MacTrast 的报道写到，这类视频在 AI 生成视频普及之后容易伪造，越狱也可能在录像之前就已经装好。与 Calif 的视频无关，Apple 更早在 3 月 27 日给 TechCrunch 的回复是，没有掌握任何开启锁定模式的设备遭雇佣间谍软件攻破的案例。Apple 安全发布页列出的最新版本是 10 月 26 日发布的 iOS 27.2，早于 Calif 的视频。

导读观点

Sekoia 用的是 n-day 漏洞，也就是厂商已经公布并修补、但还有设备没更新的漏洞，有别于厂商还不知道的零日漏洞。攻击能不能成功，取决于访客的手机停在哪个版本。Apple 的安全发布页把持续更新列为维护设备安全最重要的措施之一。Google 的 Android 说明页则提醒，更新的时间安排依设备、制造商与移动运营商而不同，旧款设备不一定能升级到新版。

iPhone 的更新在“设置”、“通用”、“软件更新”，同一页可以开启自动更新，手机会在充电且连上 Wi-Fi 的夜间安装。依 Apple 的安全发布页，到 11 月 8 日为止，iPhone 11 与之后的机型可以更新到 iOS 27.2。Apple 也为较旧的系统线发布了 iOS 26.7.2，以及给 iPhone XS、XS Max 与 XR 的 iOS 18.7.11，三个版本都在 10 月 26 日发布。

依 Google 的英文说明页，Android 手机的系统更新在“设置”App 的 System、Software updates，安全更新的日期在 About phone 里。中文界面与各品牌的名称可能不同，Chrome 则另外通过 Play 商店的 Manage apps & device 更新。依 iThome 的报道，Sekoia 呼吁用户尽快更新操作系统与浏览器。

依 Apple 的说明页，锁定模式是为极少数因身份或工作可能成为高度精密攻击目标的人设计的，大多数人永远不会遇到这类攻击。开启之后，大部分信息附件会被挡下（特定图像、视频与音频除外），链接预览也无法使用。部分网站可能变慢或无法正常运行，iPhone 也会关闭 2G 与 3G 移动网络。说明页同时建议先把设备更新到最新再开启，才有完整的保护。

依 MacRumors 的描述，视频里的攻击从用户接受一份 AirDrop 传来的 PDF 开始。本文从这个条件推论，不接受陌生来源的 AirDrop 文件，可以避开视频里的这种情境。Calif 没有公布细节，其他途径能不能达到同样的效果并不清楚，Apple 的说明页也没有提到锁定模式对 AirDrop 或 PDF 的限制。

依 Google 的英文说明页，Android 有类似的高级保护（Advanced Protection），开启前需要先设置屏幕锁定。路径在“设置”的 Security & Privacy 里 Other settings 底下的 Advanced Protection，开启 Device protection 之后 Google Play Protect 无法关闭、未知来源的 App 会被挡下，Chrome 的 JavaScript 优化与 WebGPU（让网页直接使用显卡运算的接口）也会关闭。代价是内存标记扩展（MTE）可能让手机变慢，只有 2G 信号的地方也可能无法连上移动网络。Google 的说明页没有写这些功能能否挡下 Sekoia 列出的利用链。

Apple 中国官网的支持页有简体中文的“关于‘锁定模式’”（2026 年 9 月 18 日），内容与英文页一致。中国大陆销售的 iPhone 上锁定模式实际能否使用，本文查不到官方说明，页面也没有写地区限制。更新说明页也有简体版，同样把及时更新软件列为最重要的措施之一。本文在国家信息安全漏洞共享平台（CNVD）搜索 CVE-2025-43529 与 CVE-2026-3910 没有找到条目，但站内搜索需要登录或 JavaScript、直接查询回传空白，查不到不等于没有。

Google 的简体中文说明页与正体版相同，写明更新时间安排因设备、制造商和移动运营商而异，旧款设备不一定能运行较新的 Android 版本。中国大陆销售的 Android 手机如何取得系统更新，以及 Advanced Protection 在这些设备上能否使用，本文都查不到官方说明。依第三方量测 GreatFire，play.google.com 到 11 月 1 日的最后一次测试在中国大陆 100% 被封锁，所以上面通过 Play 商店更新 Chrome 的路径不一定适用。Google 的简体中文 Chrome 下载页 google.cn/chrome，GreatFire 到 9 月 29 日最近两次测试都正常连线，页面上有“下载 Chrome”按钮。

Calif 的宣称到 11 月 8 日为止无法验证，也查不到 Apple 的回应，iOS 27.2 之后没有新的更新可以安装。之后可以看 Apple 是否发布修补或回应，以及 Calif 是否公开技术细节。Privacy Guides 的报道估计，细节可能要等 Apple 发布修补、用户有时间安装之后才会公布。

还没更新的手机打开设置看一次版本就能判断，依 Sekoia 的报告，更新可以挡下这次用到的已修补漏洞。iPhone 对照上面三个版本，停在 iOS 16 的人可以更新到本文查到最新的 iOS 16.7.16（2026 年 5 月 11 日发布）。本文依报告列出的版本范围推出 Android 的对照，安全更新的日期早于 2025 年 8 月的公告或 Chrome 在 139 到 145 之间，就落在报告列的范围。Android 版 Chrome 修补这个漏洞的版本，本文查不到。