安全研究人员发布了 CVE-2026-86950 的第一个公开概念验证，Apple 表示这是一个可能在针对特定目标个体的攻击中被利用的 Apple CoreGraphics 漏洞。
触发条件是一个恶意 PDF，里面嵌入了经过精心设计的字体，导致未修补的 iPhone 和 Mac 崩溃。该代码导致崩溃，而不是执行错误。将内存损坏转化为有效的利用代码是另一个工作，分析中并没有展示这一点。
Apple 于 9 月 28 日修补了该漏洞，感谢 Meta 产品安全团队的发现，并指出该漏洞可能在“针对特定目标个体的极其复杂的攻击中被利用，影响了 iOS 27 之前的版本。”
美国网络安全和基础设施安全局在次日将该漏洞添加到其已知被利用漏洞目录中，要求联邦机构在 10 月 2 日之前应用修复。
Apple 在 9 月 28 日的公告中没有列出 iOS 27 或 macOS Golden Gate 27 为受影响版本。对于无法立即更新的系统，没有描述任何解决方法。
研究人员的发现
分析由 Calif 的 Dion Blazakis、Josh Maine 和 Anna Groza 于 9 月 30 日发布，该公司以对消息应用中零点击攻击面进行研究而闻名。他们从一个公开可用的 iOS 26.7 和 26.7.1 的二进制比较开始。
CoreGraphics 是 Apple 用于 2D 绘图、图像渲染和 PDF 处理的框架。在 26.7.1 中唯一被更改的库，修复在八个光栅化函数中应用了超过 20 次。
修补后的代码将字形坐标从浮点数转换为 32 位定点值。在修补之前，八个函数中的两个以不同的方式处理超出范围的值：一个饱和结果，另一个截断结果。
这种差异导致字形的计算边界框过窄。CoreGraphics 然后分配了一个小于绘制所需边缘的工作缓冲区，并在其外部写入。
为了触发该漏洞，研究人员构建了一个坐标足够大的 TrueType 字体，以强制溢出。将其嵌入带有文本矩阵和嵌套复合字形缩放的 PDF 中，使这些坐标超出限制。他们在一个公开的 GitHub 仓库中发布了生成脚本和一个示例 PDF。
该工具调用应用在预览接收的附件时使用的相同 ImageIO 缩略图路径。研究人员表示，崩溃发生在 macOS 和 iOS 上。
macOS 的结果包括完整的调试器调用栈。iOS 的声明来自 Calif，没有发布单独的跟踪。
崩溃暴露了一个受控的越界写入，影响了攻击者可以控制的缓冲区中的两个相邻 16 位值，从而允许写入堆栈或堆。Calif 表示将该原语转换为有效的代码执行是另一个工作。Calif 没有获得实际样本，因此无法说明攻击者如何完成链条。
WhatsApp 的问题
Calif 考察了 WhatsApp，因为 Meta 产品安全团队被认为发现了该漏洞。该公司比较了两个最近的 WhatsApp 版本，26.37.73 和 26.38.74，并发现 WhatsApp 的 Kaleidoscope 附件扫描器中有新代码。
新版本读取 PDF 文件中的嵌入字体流，并用三个缺陷标签标记可疑文件：MalformedFontProgram、UndecodableFontProgram 和 UnverifiedFontProgram。任何这样的标签都会向 WhatsApp 的附件检查器返回高风险评分，从而停止对标记文件的自动解析。
Calif 将这些变化描述为指向 WhatsApp 作为可能传播媒介的间接证据。该公司的帖子将其研究描述为涵盖可能的 WhatsApp 零点击路径。
已发布的分析没有描述或测试 WhatsApp 的传播路径。初始版本确实提到：研究人员的分析表明，WhatsApp 可以在受害者从信任的联系人打开聊天时传递触发该漏洞的 PDF，且自动媒体下载已开启。
该句在 Calif CEO Thai Duong 的一次提交中于发布后 85 分钟被删除，他将这一更改描述为删除 WhatsApp 的猜测。
分析以一个问题结束：该漏洞“是否与 WhatsApp 中的其他漏洞结合，以在用户交互较少的情况下达到解析。”这种措辞暗示 Calif 研究的路径将需要用户操作或链中的进一步 WhatsApp 漏洞。
WhatsApp 没有发布任何公告将此漏洞与其产品关联。其 2026 年的公告页面列出了两个无关的漏洞。
Hacker News 向 Meta 询问了 WhatsApp 是否涉及报告的攻击。Meta 在发布前未作回应。
早期的案例使这一假设变得合理。2025 年 8 月，WhatsApp 评估其链接设备同步消息中的一个漏洞可能与一个单独的 Apple 越界写入结合，并针对不到 200 个目标用户使用，这是 THN 当时报道的一对漏洞。
Hacker News 向 Calif 询问了删除的传播声明，以及研究人员自发布以来是否获得了实际样本。Calif 在发布前未作回应。
没有网络指标、攻击者标识符或利用有效负载名称被公开。Apple 尚未说明 Lockdown 模式是否会阻止报告攻击中使用的传播路径。
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，以阅读我们发布的更多独家内容。