大理石紋桌面上並排放著兩支 iPhone 的背面，左邊是金色 iPhone XS，右邊是深灰色三鏡頭的 iPhone 11 Pro — 示意圖：左邊的 iPhone XS 這次要裝 iOS 18.7.11，右邊的 iPhone 11 Pro 可以裝 iOS 27.2。TzarN64 攝，CC BY-SA 4.0，Wikimedia Commons，本站裁切為 16:9。

資安AppleiOS

iOS 27.2 修補 163 個漏洞，網頁引擎 WebKit 占 26 個：iPhone 11 以後更新 27.2（留在 26 的更新 26.7.2），XS、XR 裝 18.7.11，後者補的是一個 Apple 說可能已遭利用的漏洞

趨勢新聞2026 年 10 月 28 日

Apple 10 月 26 日推出 iOS 27.2，安全說明頁列了 163 個漏洞編號，最多的是 Safari 背後的網頁引擎 WebKit（26 個）。WebKit 不只用在 Safari，iPhone 版 Chrome 和許多 App 內開的網頁也用它。27.2 的說明頁沒有標示任何一個已遭利用。同一天給 iPhone XS、XS Max、XR 的 iOS 18.7.11 就不同：三個修補裡有一個，Apple 寫「可能已在一場極為精密的攻擊中遭到利用」（本站譯），留在 iOS 26 的 iPhone 11 以後機型 9 月 28 日就已修好。本站的讀法：手上是 XS 或 XR 的，請優先更新；iPhone 11 以後的，也建議盡快更新。

我的 iPhone 該裝哪一版

依 Apple 安全更新總表列的適用機型：

iPhone 11 以後，已經在用 iOS 27：裝 iOS 27.2。
iPhone 11 以後，還留在 iOS 26：可以裝 iOS 26.7.2，它修了 134 個漏洞，其中 119 個和 27.2 相同。
iPhone XS、XS Max、XR：目前支援的版本線是 iOS 18，裝 iOS 18.7.11。
iPhone X、iPhone 8 或更舊：這次沒有列出對應更新。總表上 iPhone 8、8 Plus、X 最近一次更新是 5 月 11 日的 iOS 16.7.16；這次的漏洞會不會影響它們，Apple 沒有說明。

更新路徑是「設定」→「一般」→「軟體更新」。Apple 在總表提醒，iOS 裝上新版後就不能退回舊版。

要不要馬上更新

iOS 27.2 和 26.7.2 的說明頁，本站逐條讀過，沒有一條寫已遭利用；這只代表 Apple 沒說知道有人利用，不代表漏洞不嚴重。18.7.11 那個例外是 CoreGraphics（系統處理圖片與文件的繪圖元件）的漏洞 CVE-2026-86950，影響寫的是「處理惡意製作的檔案可能導致任意程式碼執行」（本站譯），也就是系統處理動過手腳的檔案時，攻擊者可能藉此在手機上執行程式；Apple 沒有交代完整的觸發方式。

Apple 的說法有兩層保留：它「知悉一份報告」，指這個漏洞可能曾被用來攻擊「特定目標人物」，涉及「iOS 27 之前的版本」（本站譯），沒寫是誰、規模多大，所以也無法估計一般使用者遭攻擊的機率。iOS 26 那條線 9 月 28 日在 26.7.1 就修了這一個，18.7.11 晚了 28 天才拿到同一項修補。本站的讀法：XS、XS Max、XR 的使用者應優先更新；公司配發舊款 iPhone 的，資訊人員可以先盤點有沒有 XS、XR，以及這次沒列入適用機型的 X、8、8 Plus。

163 個漏洞修了什麼

WebKit 26 個。WebKit 是把網頁畫到螢幕上的引擎。App Store 審查規則 2.5.6 要求會瀏覽網頁的 App 都用 WebKit，只有歐盟與日本可申請例外，Google 的 Chrome 開發者文件也寫明，iOS 版 Chrome 用的是 WebKit，台灣 App Store 上的 Chrome 也在此列。這 26 個裡有 5 個的影響寫的是「處理惡意製作的網頁內容可能導致任意程式碼執行」（本站譯），其餘多是讓網頁程序或 Safari 當掉，或記憶體毀損、外洩。另外 3 個以 WebKit 開頭的子元件共 4 個漏洞，不在 26 個之內。

核心（Kernel）15 個。核心是作業系統最底層、管記憶體與硬體的部分。15 個裡有 14 個的影響以「一個 App 可能⋯」開頭，從讓系統異常終止、改動核心記憶體到繞過隱私設定都有；Apple 沒有交代完整的攻擊流程。

ImageIO 11 個。ImageIO 是系統讀取各種圖片格式的元件，影響都寫「處理惡意製作的圖片」，後果是程式閃退、記憶體毀損或洩漏記憶體內容。

致謝名單上的 AI 公司與 Google

致謝欄裡，Google Project Zero（Google 的漏洞研究團隊）的研究員掛名 11 個，其中 9 個在 ImageIO。Anthropic 的研究員以「Anthropic Research」名義掛名 3 個 WebKit 相關漏洞；「OpenAI Codex Security」掛名 3 個 WebKit 漏洞，其中 1 個與 Anthropic 研究員共同掛名；另有一個核心漏洞的回報者寫「OpenAI」。Apple 只列名字，沒說漏洞是不是用 AI 工具找到的。

Apple 頁面上沒寫總數，163 是本站把 27.2 說明頁的 CVE 編號（漏洞的國際統一編號）逐一抓出、去重後的結果，分布在 67 個元件；Apple 附的機器可讀 JSON 檔也是 163 筆。本站另一則談 27.2 的 Siri 新增語言。

原文 About the security content of iOS 27.2 and iPadOS 27.2（2026-10-26），163 個 CVE、各元件數量、影響說明與致謝名單取自此頁；本站另以頁面上的 CSAF JSON 檔核對總數； About the security content of iOS 26.7.2 and iPadOS 26.7.2（2026-10-26），134 個 CVE 與適用機型取自此頁，與 27.2 重疊的 119 個為本站比對； About the security content of iOS 18.7.11 and iPadOS 18.7.11（2026-10-26），CVE-2026-86950 可能已遭利用的說明與適用機型取自此頁； About the security content of iOS 26.7.1 and iPadOS 26.7.1（2026-09-28），iPhone 11 以後機型先修 CVE-2026-86950 的日期取自此頁； Apple security releases，各版本適用機型、iOS 16.7.16 的日期、不能降版的提醒與 Apple 的揭露原則取自此頁； App Store Review Guidelines 第 2.5.6 條，App 瀏覽網頁須用 WebKit、歐盟與日本例外取自此頁； Chrome for Developers〈Blink〉，iOS 版 Chrome 使用 WebKit 取自此頁。