苹果漏洞预警之后，为什么没有“吹哨人”？

来源：虎嗅APP

公众不该只收到一句“请尽快更新”

出品 | 虎嗅科技组

作者 | 梁卡尔

编辑 | 苗正卿

头图 | 视觉中国

苹果这次罕见高调提醒用户更新iOS。

4月15日，苹果公司通过服务号“Apple”发布了《更新iOS以保护你的iPhone免受网页攻击》，措辞十分直接：“如果你使用的是较旧版本的iOS，一旦点开恶意链接或访问被入侵的网站，iPhone上的数据就可能被盗”。

苹果格外强调，这次攻击针对的是“过时版本的iOS”，并建议用户尽快升级到最新版本，或启动锁定模式。

同一天，工业和信息化部网络安全威胁和漏洞信息共享平台（以下简称“NVDB平台”）也发布信息称，苹果公司已紧急提醒iPhone用户立即更新，以防范网页攻击，并建议用户升级系统、安装关键性安全更新，无法更新的设备可启用锁定模式。

时间向前看几天就会发现，这次提醒并非只是一次普通补丁通知。4月3日，NVDB平台就曾发布风险提示称，监测发现有攻击者利用针对终端漏洞利用工具实施网络攻击活动，影响范围包括运行iOS 13.0至17.2.1的iPhone、iPad等苹果设备。

攻击方式并不复杂，通过短信、邮件或网页投毒等方式，诱导用户使用Safari浏览器访问恶意代码的网页，再植入远程控制木马、窃取敏感信息，甚至获取设备最高权限。

截至发稿时，苹果公司并未明确此次更新是针对NVDB平台的风险提示。但把上述公开信息放在一起看，就可以形成一条完整的线索，平台预警，厂商修复，平台再扩散提醒。

比漏洞本身更反常的，是几乎没人愿意把这件事讲清楚。

围绕这次苹果漏洞事件，虎嗅咨询了多家头部安全公司和研究机构，结果很一致，都没有给出更进一步的解释。有人拒绝回应，有人只愿意给出极为模糊的表述，有人选择发报告，而不愿意正面回答这次风险到底意味着什么：影响面有多大，旧设备用户该如何判断风险，为什么风险会集中落在旧版iOS上，普通用户除了“赶紧更新”之外还有没有更现实的选择。

进一步追问就是，为什么在一场已经公开预警的安全事件中，最懂的人反而不说话了？

原因没那么简单。现在的漏洞披露，早就不是研究员发现了就能出来讲两句的事。谁先报、什么时候能说、能说到哪一步，很多时候都卡在流程里。

越接近处置链条的人，反而越难开口。因为一旦牵涉到漏洞上报、厂商修复和平台协同，公开发言的风险往往比收益大得多。

结果就是，真正知道细节的人不说，愿意说的人又只敢说最稳妥的话——“请立即更新系统”。

这话没错，但对很多用户来说，基本等于没解释。

对于一台还能顺畅运行最新系统的iPhone来说，“立即更新”只是一个动作；但对于大量停留在旧版本系统上的老设备用户来说，只能从忍受硬件不匹配下的糟糕体验和花一大笔预算购买一台新设备中作出选择。

苹果在公告里已经说得很明白，这次风险主要针对的是“过时版本的iOS”。NVDB平台披露的影响范围更为具体，覆盖iOS 13.0至17.2.1。换句话说，真正暴露在风险里的，很可能正是那批没有及时更新、也未必愿意更新的旧设备用户。

对不少老iPhone用户来说，系统升级从来不只是面对“要不要更安全”的问题，还有“会不会更卡、更耗电、更影响日常体验”的问题。甚至在早期区分运营商不同版本更新固件时，升级错误意味着用户还要更换手机号码才能使用，否则iPhone“秒变”iPod。

苹果的长期系统支持一直是卖点，但落到老设备上，用户感受到的常常是另一面，系统还能升级，体验却未必跟得上。

以前用户纠结的是卡不卡、电量是不是下得快，现在连安不安全都要一起算了。

苹果这次之所以反常，不在于它修了漏洞，而在于它罕见地把风险说得足够直白：恶意网页、数据被盗、旧版iOS、锁定模式。这些词叠在一起，已经说明问题不再停留于“理论上存在漏洞”，而是进入了需要公开提醒用户立即行动的阶段。

偏偏在这个时候，安全圈几乎没人愿意把这件事讲明白。

对用户来说，知道要更新，却不知道这次风险为什么主要落在旧版iOS；知道风险和网页攻击有关，却不知道自己是否属于高暴露人群；知道无法更新可以启用锁定模式，却不知道这意味着设备实际上已经接近安全风险边界。

这几年安全行业的变化很明显，处置流程越来越完整，面对公众时就越来越惜字如金。

这不只是某家公司不愿意说，而是整个行业的角色都变了。更准确地说，这是安全行业角色变化的结果。安全公司越成为厂商和监管体系中的协同节点，它就越难同时扮演一个面向公众的解释者。说多了有风险，说少了最安全，沉默反而成了最稳妥。

但问题是，行业选择沉默的成本，最后并不是行业自己承担，而是普通用户承担。

尤其是那些仍在使用旧设备、旧系统的人。他们收到的只是一个结果导向的通知：更新升级、打开锁定模式，或者前往门店寻求帮助。

他们很难知道，自己究竟是在面对一个普通漏洞，还是一个已经进入现实攻击链条的高危风险，也很难知道，继续停留在旧系统上的代价，或许已经从体验下降变为失去安全防护。

这套处置当然不能算错，但它也谈不上是成熟行业该有的沟通方式。

一场影响这么多用户的安全漏洞事件，公众不该只收到一句“请尽快更新”。他们还需要知道：风险到底有多大，谁最容易中招，继续拖着不升级要付出什么代价。

如果这些问题永远只能停留在“敏感”“不便回应”“以官方公告为准”，那安全行业再专业，也很难真正建立起公众信任。

因为保障安全从来不只是修补漏洞，也包括把风险说明白。

难怪有的手机行业分析师会说这对苹果来说可能不是坏事。他们可能未必会因此调高苹果接下来的出货量预期，但他们相信有的用户要买新手机了。