大理石紋桌面上並排放著兩支 iPhone 的背面，左邊是金色 iPhone XS，右邊是深灰色三鏡頭的 iPhone 11 Pro — 示意圖：左邊的 iPhone XS 裝不了 iOS 27，這次要裝 iOS 18.7.11。TzarN64 攝，CC BY-SA 4.0，Wikimedia Commons，本站裁切為 16:9。

資安AppleiOS

iPhone XS、XR 和 iPad 第 7 代請裝 iOS／iPadOS 18.7.11：Apple 9 月 28 日先在 iOS 26.7.1 修好、可能已遭利用的 CoreGraphics 漏洞，晚 28 天補給裝不了 iOS／iPadOS 27 的舊機

趨勢新聞2026 年 10 月 28 日

家裡長輩還在用的 iPhone XS、XR，或拿來點餐、看影片的 iPad 第 7 代，都裝不了 iOS／iPadOS 27：Apple 安全更新總表上，iOS／iPadOS 27 與 26 的適用機型都不含這幾款（iPad 用的系統叫 iPadOS）。Apple 標示 10 月 26 日發布 iOS 18.7.11 與 iPadOS 18.7.11，補上系統繪圖元件 CoreGraphics 的漏洞編號 CVE-2026-86950，Apple 說它可能已被用來攻擊特定人士。同一個漏洞，Apple 9 月 28 日已在 iOS／iPadOS 26.7.1 和兩個 macOS 版本修好，舊機的修補晚 28 天才發布。本站的讀法：手上有這幾款舊機的，請到「設定」→「一般」→「軟體更新」裝 18.7.11。

我的手機或平板要裝哪一版

依 Apple 安全更新總表（台灣版）列的適用機型：

iPhone XS、XS Max、XR，iPad 第 7 代：裝 iOS／iPadOS 18.7.11。總表上這次給它們的就是這一版，26.7.2 與 27.2 的適用機型都沒有列它們。
iPhone 11 以後：已在用 iOS 27 的裝 27.2，還留在 iOS 26 的裝 26.7.2，本站另有 iOS 27.2 的新聞。
iPhone X、8 或更舊：這次沒有列出對應更新；這個漏洞會不會影響它們，Apple 沒有說明。

「軟體更新」頁面會顯示目前版本。Apple 建議先用 iCloud 或電腦備份、接上電源並連 Wi-Fi；總表另提醒，裝上新版後不能退回舊版。

這個漏洞是什麼

CVE 是漏洞的國際統一編號，CoreGraphics 是 Apple 系統裡負責畫圖的底層元件，Apple 開發者文件寫它處理圖片、色彩管理與 PDF 文件等工作。Apple 對 CVE-2026-86950 的影響說明是：「處理惡意製作的檔案，可能導致任意程式碼執行」（本站譯）。白話說，系統處理被動過手腳的檔案時，攻擊者可能藉此在裝置上執行他自己的程式。Apple 沒有交代完整的觸發方式，也沒寫是哪一種檔案，本站不替它補。

原文是 Apple「知悉一份報告」，指這個漏洞「可能已在一場極為精密的攻擊中，被用來針對特定個人」，涉及的是「iOS 27 之前的版本」（本站譯）。Apple 沒有寫攻擊者是誰、針對哪些人、有多少台受害。本站的讀法：一般使用者遭攻擊的機率無從估計，但修補已經可以裝，沒有理由拖著。

兩次修補相隔 28 天

9 月 28 日，Apple 在 iOS 26.7.1、macOS Tahoe 26.7.1 與 macOS Sequoia 15.8.1 修了這個漏洞，說明文字與這次一字不差。隔天 9 月 29 日，美國網路安全暨基礎設施安全局（CISA）把它列入「已遭利用漏洞目錄」（KEV）。收錄條件之一是有可靠證據顯示已遭利用。條目列的處理期限 10 月 13 日依約束性作業指令 BOD 26-04 訂定，針對美國聯邦文職行政部門的系統；對台灣一般企業和個人，這個日期不是強制期限。10 月 26 日，舊機才拿到 18.7.11，與 9 月 28 日的發布日相隔 28 天。

Apple 沒有解釋舊機為什麼晚修。本站讀到的 KEV 資料檔（10 月 27 日 19:00 UTC 版）中，這一筆的備註仍只列 9 月 28 日那三份說明頁，還沒有 18.7.11。iOS 27 的安全說明頁（9 月 14 日發布）在 CoreGraphics 底下只有致謝，本站讀到的版本沒有列這個編號，不能據此判斷 iOS 27 是否受影響。

同一版另外修了什麼

18.7.11 一共修 3 個漏洞，另外兩個 Apple 沒有標示已遭利用：音訊元件的 CVE-2026-65339，「一個 App 可能洩漏使用者的敏感資訊」；媒體元件 CoreMedia 的 CVE-2026-86990，「惡意 App 可能未經使用者允許存取相機」（皆本站譯）。後者也在 iOS 27.2 與 26.7.2 一起修了。

18.7.11 說明頁的「適用於」欄寫成「iPad 7th generationAir 4th generation and later…」，本站的讀法是文字疑似拼接有誤。總表上 18.7.11 的適用機型只有 iPhone XS、XS Max、XR 與 iPad 第 7 代，本站以總表為準。

本站的讀法：公司或店家如果還在用 iPhone XS、XR 當公務機，或用 iPad 第 7 代當點餐、收銀或簽名板，負責的人可以先盤點機型，確認都已裝到 18.7.11。

原文 About the security content of iOS 18.7.11 and iPadOS 18.7.11（2026-10-26），三個 CVE 的影響說明、CVE-2026-86950 可能已遭利用的原文與「適用於」欄文字取自此頁，本站另以頁面附的機器可讀公告檔（CSAF JSON）核對； iOS 26.7.1 and iPadOS 26.7.1（2026-09-28）、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1 說明頁，9 月 28 日先修同一個漏洞取自此處； Apple 安全性發布總表（台灣版），各版本適用機型與發布日、iPad 第 7 代的列名與不能降版的提醒取自此頁； About the security content of iOS 27 and iPadOS 27（2026-09-14），CoreGraphics 只有致謝、未列此編號取自此頁； iOS 27.2 與 iOS 26.7.2 說明頁，CVE-2026-86990 同步修補取自此處； CISA 的 KEV JSON 資料檔（2026-10-27 19:00 UTC 版），列入日期、處理期限與備註連結取自此處；CISA KEV 說明頁，收錄標準取自此頁；BOD 26-04，適用對象取自此頁； Apple 開發者文件 Core Graphics，元件用途取自此頁；更新 iPhone 或 iPad，更新步驟取自此頁。