https://yggf.net/tags/webkit/Recent content in WebKit on 一个果粉Hugozh-cnWed, 12 Mar 2025 00:00:00 +0000https://yggf.net/ios-1832-security-update/Wed, 12 Mar 2025 00:00:00 +0000https://yggf.net/ios-1832-security-update/<p>（公开资料整理：苹果官方安全更新说明。）</p> <p>这个月苹果的系统更新有点像补锅：2 月的 18.3.1 修的是物理接触的洞，3 月 11 日的 18.3.2 修的是网页里的洞，依然是「只有一个修复」的小版本。</p> <h2 id="洞在哪">洞在哪</h2> <p>WebKit 是 Safari 的引擎，iPhone 上所有浏览器——包括微信里点开的链接——底层都用它。它的安全模型叫沙箱：网页内容被关在一个隔离区里，再恶意的网页也只能在区里折腾，碰不到你的系统和数据。</p> <p>这次修的漏洞（CVE-2025-24201）是一个越界写入问题，能让恶意制作的网页内容<strong>逃出沙箱</strong>。苹果说它是「补充修复」：同一个攻击在 iOS 17.2（2023 年底）就被堵过一次，这次发现没堵干净，又补一道。苹果同时确认，在 17.2 之前的老版本上，这个洞曾被用于针对特定个人的极其复杂的攻击。</p> <p>对普通人的意义和上次那篇说的一样： targeted 攻击轮不到你我，但补丁公开后，模仿的门槛会降低。Safari 是每天都在用的东西，这个洞没有不补的理由。</p> <h2 id="顺带的两件事">顺带的两件事</h2> <ul> <li>18.3.2 的更新说明里还有一条：修复了部分流媒体内容播放出问题的情况，视频 App 莫名播不了的可以留意。</li> <li>又有外版用户报告：升完之后，先前手动关掉的 Apple Intelligence 被重新打开。2 月那篇 18.3.1 里提过同样的现象，这次依然出现。外版用户升完去设置里复查一眼；国行没有这个开关，跳过此条。</li> </ul> <p>同日更新的还有 macOS 15.3.2、Safari 18.3.1（给老系统）和 visionOS 2.3.2，修的是同一个洞，家里的 Mac 也一并检查。</p> <h2 id="小果结论">小果结论</h2> <p>连续两个月的小数点更新，全是安全补丁——这不是苹果勤快，是水面下的攻防一直在打。<strong>你的动作只有一个：设置 → 通用 → 软件更新，点完</strong>。两分钟的事，别让它拖过这个周末。</p>