Apple 同日更新三代 macOS：Golden Gate 27.2 列 263 個漏洞，WebKit 30 個、核心 17 個；Tahoe 26.7.2、Sequoia 15.8.2 也有更新，三份公告都沒寫已遭利用

趨勢新聞2026 年 10 月 29 日

Apple 10 月 26 日同一天更新了三代 Mac 作業系統：最新的 macOS Golden Gate 27.2、前一代的 Tahoe 26.7.2、再前一代的 Sequoia 15.8.2，各修了一批資安漏洞。最新版的公告列了 263 個漏洞編號，數量最多的是 Safari 背後的網頁引擎 WebKit，其次是作業系統最底層的「核心」。三份公告本站逐條讀過，沒有一條寫已遭利用。跟台灣使用者的關係很直接：在 Mac 上用 Safari 開網頁、打開別人傳來的圖片，都會用到這次修補的元件；公司若用 macOS 內建的「遠端管理」讓資訊人員管電腦，也在修補範圍內。本站的讀法：不必緊張，但這幾天找時間更新；還在用 Tahoe 或 Sequoia 的，還要確認 Safari 27.2 也裝了，這兩版的網頁引擎修補另外列在 Safari 的公告。

我的 Mac 該裝哪一版

先看自己的版本：點螢幕左上角的蘋果選單，選「關於這台 Mac」。再依 Apple 安全更新總表對照：

• 已經在用 Golden Gate 27：裝 macOS Golden Gate 27.2。總表列的 Golden Gate 27 適用機型都是 Apple 自家晶片的 Mac（多為 2020 年以後的機型），用 Intel 處理器的 Mac 不在名單上。
• 還在用 Tahoe 26：裝 Tahoe 26.7.2，它的公告列了 213 個漏洞。再確認 Safari 27.2 也裝了。
• 還在用 Sequoia 15：裝 Sequoia 15.8.2，公告列了 197 個漏洞，同樣要確認 Safari 27.2。
• Sonoma 14 或更舊：這次總表沒有列對應的更新。Sonoma 最近一次系統更新是 8 月 6 日的 14.8.9，9 月起的 Safari 27 與 27.2 也只寫適用 Sequoia 和 Tahoe。這批漏洞會不會影響 Sonoma，Apple 沒有說明。

更新路徑是「系統設定」→「一般」→「軟體更新」。為什麼舊兩版要另外留意 Safari？Tahoe 26.7.2 與 Sequoia 15.8.2 的公告裡完全沒有 WebKit 的條目，Safari 27.2 的公告則寫「適用於 macOS Sequoia 與 macOS Tahoe」（本站譯），列了 33 個漏洞，大多是 WebKit 與相關元件，也全部出現在 Golden Gate 27.2 的名單上。本站的讀法：Tahoe、Sequoia 的使用者要另外確認 Safari 27.2 已安裝，這批另列在 Safari 公告的 WebKit 修補才算套用。軟體更新畫面若另列 Safari 27.2，一併勾選安裝；裝完打開 Safari，從選單「Safari」→「關於 Safari」看版本是不是 27.2（介面名稱依系統版本可能略有不同）。

「沒寫已遭利用」代表什麼

這三份公告和 Safari 27.2 的公告，都沒有出現「可能已遭利用」這類字樣。這只代表 Apple 沒說知道有人拿這些漏洞攻擊，不代表漏洞不嚴重。Apple 在公告開頭寫，為了保護客戶，「在進行調查、且已有修補或新版本可用之前，Apple 不揭露、不討論、也不證實資安問題」（本站譯）。所以公告一出，哪些元件有漏洞、會造成什麼後果，也跟著公開了。本站的讀法：不必放下手邊工作立刻更新，但也不宜拖著不裝。

263 個漏洞修了什麼

CVE 是漏洞的國際統一編號。Apple 頁面上沒有寫總數，263 是本站把 Golden Gate 27.2 公告的 CVE 編號逐一抓出、去掉重複後的結果，分布在 102 個元件。Tahoe 與 Sequoia 的 213 與 197 用同樣方法數出，和兩頁附的 JSON 資料檔筆數相同。Golden Gate 27.2 和 Tahoe 26.7.2 有 183 個編號相同。以下以 Golden Gate 27.2 為準：

• WebKit 26 個，加上 WebKit Canvas、WebKit JavaScript Bindings、WebKit Process Model 三個子元件共 4 個，合計 30 個。WebKit 是把網頁畫到螢幕上的引擎，Safari 用的就是它。26 個裡有 5 個的影響寫「處理惡意製作的網頁內容可能導致任意程式碼執行」（本站譯），白話說，用還沒修補的 Safari 打開動過手腳的網頁，可能導致攻擊者的程式碼被執行，公告沒有交代能拿到多大的系統權限；其餘多是讓 Safari 或網頁程序當掉、記憶體外洩。
• 核心（Kernel）17 個。核心是作業系統最底層、管記憶體與硬體的部分。多數寫的是 App 可能讓系統異常終止或改動核心記憶體。其中 CVE-2026-112438 寫「未具特權的攻擊者可能以 root 身分執行任意程式碼」（本站譯），root 是系統裡權限最高的帳號；這一個在 Tahoe 與 Sequoia 的公告上也有。
• 遠端管理（Remote Management）。這是 macOS「共享」設定裡的「遠端管理」，開啟後資訊人員可以用 Apple 遠端桌面（Apple Remote Desktop）從別台電腦管理這台 Mac。這個元件在 Golden Gate 27.2 列了 3 個漏洞，其中 CVE-2026-112427 的影響寫「遠端攻擊者可能造成任意程式碼執行」（本站譯）。這一個沒有出現在 Tahoe 與 Sequoia 的公告上，舊兩版是否受影響，Apple 沒有說明。

Apple 對每個漏洞只寫一句影響與一句修法，沒有交代攻擊流程。本站的讀法：一般使用者照上面的對照表更新就夠；公司有一批 Mac 的，資訊人員可以先盤點還停在 Sonoma 或更舊的機器（再依機型確認能升到哪一版），以及 Tahoe、Sequoia 的機器 Safari 有沒有升到 27.2。iPhone 這一輪的更新，本站另一則談 iOS 27.2 的安全修補已整理。