苹果用户被3个漏洞"裸奔"：美军火商工具泄露

全球超过10亿台iPhone和iPad中，有相当一部分正在运行着"过期"的系统版本。安全研究者最新确认，这些设备现在成了公开靶子——两套名为Coruna和DarkSword的顶级黑客工具包已流入网络，其中DarkSword的部分代码甚至被上传到了GitHub。

这不是普通的恶意软件。Coruna能穿透iOS 13到iOS 17.2.1（2023年12月发布版本），DarkSword则更狠，覆盖到iOS 18.4和18.7（2025年9月版本）。换句话说，哪怕你去年刚换的iPhone，只要没及时更新，照样可能被一锅端。

攻击方式简单到离谱：受害者访问一个被劫持的正规网站，或者黑客搭建的恶意站点，代码自动执行。不需要点击任何链接，不需要输入密码。你的短信、浏览器记录、位置轨迹、加密货币钱包，全部上传至黑客服务器。

工具从哪来？美军火商的"副业"

Coruna的部分组件被溯源至Trenchant——美国国防承包商L3Harris旗下的黑客与间谍软件部门。这家公司向美国政府及其核心盟友出售漏洞利用工具，主业是服务情报机构。

卡巴斯基的研究者还发现，Coruna工具包中的两个漏洞与"三角行动"（Operation Triangulation）有关。这是2023年曝光的大规模监控行动，目标包括中国新疆的维吾尔族穆斯林和香港地区的用户。当时苹果紧急修补了相关漏洞，但显然，武器库的碎片已经散落各处。

DarkSword的出身更模糊。Google安全团队正在分析其代码，目前尚未公开 attribution（归属判定）。但时间线值得玩味：iOS 18.4和18.7是2025年9月才发布的版本，而攻击工具已经能针对这些系统——这意味着漏洞从发现到武器化的周期，正在以月为单位压缩。

GitHub上的"开源武器"

真正让研究者紧张的是DarkSword的泄露方式。有人将部分代码扔上了GitHub，全球最大的代码托管平台。现在，任何具备基础技术能力的人都能下载、修改、部署。

这种"民主化"的网络武器极其危险。政府级间谍工具原本有门槛：需要资源、需要渠道、需要目标清单。但一旦代码公开，攻击就变成无差别扫射——钓鱼网站可以批量搭建，受害者可以是任何运行旧版iOS的人。

Google安全研究者指出，这类攻击"本质上是 indiscriminate（无差别）且危险的"。没有特定画像，没有预警机制。你可能只是因为点开了一个被劫持的新闻网站，手机就被远程接管。

苹果用户的"安全幻觉"该醒了

iOS长期被视为移动安全的标杆。过去十年，针对iPhone的大规模攻击仅有两次公开记录：2019年起的维吾尔族定向监控，以及同期香港用户的遭遇。现在，第三次浪潮来了，而且工具已经公开流通。

讽刺的是，苹果的封闭生态既是护城河，也是盲区。用户习惯了"系统提示更新就点稍后"，习惯了"老机型跑新系统会卡"。但安全补丁不是功能迭代，是生死线。iOS 17.2.1是2023年12月的版本，距今已逾一年；iOS 18.4/18.7的用户如果停留在旧版，同样暴露在火力范围内。

研究者给出的防护建议简单粗暴：更新系统。不是"建议更新"，是"必须更新"。Coruna的覆盖窗口止于iOS 17.2.1，意味着17.2.2及之后版本已修补相关漏洞；DarkSword针对的18.4/18.7用户，则需要确认自己运行的是最新子版本。

但这里有个残酷的现实。全球仍有数亿台旧款iPhone无法升级到iOS 18——iPhone 8及更早机型被苹果官方淘汰。这些设备的用户，现在成了真正的"数字难民"。

安全研究者Lorenzo Franceschi-Bicchierai在报道末尾留下了联系方式，呼吁知情人士通过Signal、Telegram等加密渠道提供更多线索。这种操作在网络安全报道中并不常见，暗示DarkSword和Coruna的完整图景尚未浮出水面。

工具泄露的源头是谁？是内部人员叛逃，还是供应链被渗透？GitHub上的代码是全部武器库，还是冰山一角？如果你的iPhone系统版本停留在2024年之前，现在最该问自己的或许是：我的数据值不值得冒这个险？