（公开资料整理：苹果官方安全更新说明。）

4 月 16 日，iOS 18.4.1 推送。没有新功能，但修复清单里的两个名字，建议你认真看一眼——这是 2025 年以来苹果修的第四、第五个「已被利用」的零日漏洞了，今年的攻防节奏明显比往年密。

两个洞，各干什么

  • CVE-2025-31200（CoreAudio）：藏在音频处理框架里。一段特制的媒体文件，处理它时就能触发内存损坏、执行恶意代码。换成人话：收到并打开一个来路不明的音频文件，就可能中招。这个洞由苹果和谷歌的威胁分析小组共同发现——能劳动这两家一起署名的，都不是小毛贼。修法是加强边界检查。
  • CVE-2025-31201（RPAC）：冲着安全机制本身去的。「指针认证」是苹果芯片上防篡改的一道锁，这个漏洞能让已经拿到读写权限的攻击者绕过它。苹果的修法很决绝：直接把出问题的代码删了。

苹果对两个洞的措辞一致：已知可能曾被用于「针对特定个人的极其复杂的攻击」。这句话今年已经出现四次了，我的态度还是老样子：目标轮不到普通人，但补丁一公开，仿制成本就下降，所有人尽快升，就是成本最低的对策。

附带的一个民生修复

18.4.1 的更新说明里还有一条：修复了部分车型上无线 CarPlay 连不上的问题。18.4 之后有车主反映无线 CarPlay 断连、黑屏的，就是冲着你们修的。有车一族多了一个升级理由，升完去车里验一下。

同日更新的还有 iPadOS 18.4.1、macOS 15.4.1、tvOS 18.4.1 和 visionOS 2.4.1，修的是同一组洞，全家设备照例一起检查。

小果结论

今年已经是第三次写这种「没新功能、但请立刻升」的稿子了。结论不用换：设置 → 通用 → 软件更新，今晚升完。特别是常收陌生文件、做生意离不开微信语音和邮件附件的人，你们的暴露面比一般人大，这个更新拖不得。