iOS 漏洞未修：恶意 App 可读其他应用文件

一个名为 worse_query 的 iOS 漏洞目前仍未被修复。它属于沙盒逃逸，装了恶意 App 之后，本机其他应用存放的本地文件就可能被读走。币安已在 11 月 10 日向 iPhone 用户发出提醒，称受威胁的包括助记词、私钥和登录凭据。

按币安的说法，这不是某个应用自己的问题，而是一个”iOS 层面的问题”，几乎所有应用都会被牵连。涉及的系统版本包括 iOS 26.7.1、27.0.1 以及 iOS 27.2。

币安给出的处置办法是四条：把从不可信来源装的 App 删干净，包括侧载的和用手动签名 IPA 安装的；把 iOS 和所有应用升到最新的正式版本；如果怀疑自己的币安账号已经被突破，用一台干净的备用设备新建钱包，把资产转移过去；同时重置所有仍在生效的登录会话。

这条提醒发出的时间点容易让人多想。币安此前刚经历过一次大额被盗，被转走的加密资产折合 63 亿美元。不过这次的漏洞警告与那起事件没有关系。

披露过程本身也不合常规。安全研究员 forcequit 与 0xjohnny 在 11 月 8 日（周日）就把这个逃逸手法公开了，而苹果当时还没有修复。11 月 9 日苹果推送了 iOS 27.2.1 和 iOS 26.7.3，但 27.2.1 的安全更新内容里找不到与这个漏洞描述能对上的条目；iOS 27.3 的首个开发者测试版早在 11 月 3 日就放出了，比研究员公开的时间还早，同样没有带上修复。forcequit 后来在追问中表示，worse_query 在 27.2.1 和 27.3 beta 1 里都没被补上。

正常的负责任披露会给厂商留出一段修复窗口，等安全更新发出去再公开细节。这一回窗口等于被跳过。forcequit 晒出一张日期标着 10 月 10 日的截图，内容是苹果表示会尽快审阅提交的报告，同时注明苹果回复说这次比通常的 7 天”要久一些”。有人评论提前公开可能意味着拿不到漏洞赏金，forcequit 回应说不在意可能的赏金损失，理由是觉得苹果在”拖延”处理。

在苹果的补丁到位之前，能做的只有两件事：不要装来路不明的应用，留意随后的系统更新。漏洞细节已经公开，留给苹果的时间不多。