在有报道称该漏洞遭到活跃利用后，CISA已将Apple的CVE-2024-27834加入其已知被利用漏洞（KEV）目录。该漏洞是一个指针认证绕过漏洞，据报道，相关攻击利用它来投递信息窃取恶意软件。关键细节在于，Apple早在2024年就已修复此漏洞。如果你的设备已更新到最新版本，实际风险很低。如果尚未更新，安装Apple CVE-2024-27834信息窃取漏洞更新是你今天能做的最有用的一件事。

CISA对CVE-2024-27834的说明

CISA的KEV目录列出了已知在真实攻击中被利用的漏洞。收录条目意味着某漏洞已从理论风险转变为活跃威胁，这也是该机构利用该清单推动各组织尽快修补的原因。将CVE-2024-27834加入该目录，是在有报道称存在投递信息窃取恶意软件的攻击之后进行的。

该漏洞是一个指针认证绕过漏洞。指针认证是一种保护机制，使攻击者更难篡改代码在内存中的运行方式，因此绕过它就会削弱一层防御。根据美国国家漏洞数据库（NVD），Apple通过改进检查修复了该问题。Apple的Safari 17.5安全说明将该漏洞列为WebKit问题，并致谢与Trend Micro零日计划（Zero Day Initiative）合作的Manfred Paul。NVD条目日期为2024年5月14日，列出的修复版本包括Safari 17.5、iOS 16.7.8和iPadOS 16.7.8，以及iOS 17.5和iPadOS 17.5等版本。

简而言之，这不是一个全新的漏洞。它是一个较旧的、已修补的漏洞，但攻击者仍然觉得它有用。

信息窃取程序会窃取什么，以及为何已修补漏洞仍会被利用

信息窃取程序是一类恶意软件，旨在悄悄从受感染设备收集数据并发送给攻击者。根据不同变种，目标通常包括已保存的密码、浏览器数据和会话信息。源文章并未详细说明此次攻击活动具体窃取了什么，因此应将其视为对该恶意软件类别的总体描述，而非关于此次特定攻击的发现。

攻击者为何还要费心利用一个早已修复的漏洞？因为修补并不均衡。较旧的手机、平板电脑和Mac可能数月甚至数年未更新，无论是因为人们推迟安装提示、设备被多人共用，还是硬件已无法运行最新软件。攻击者知道，修复程序可用并不等于修复程序已安装。针对未修补设备的已知、可靠漏洞利用，比开发新的漏洞利用成本更低。

这种模式在整个行业都很常见。可信软件和可信的更新习惯才是真正的战场，正如我们看到一个零日漏洞将韩国银行的安保工具变成了武器时那样。人们赖以保障安全的软件，如果不受控制，也可能成为入侵途径。

如何立即保护你的iPhone和iPad：Apple CVE-2024-27834信息窃取漏洞更新

修复方法很简单，只需几分钟。

  1. 打开“设置”，然后进入“通用”，再进入“软件更新”。 安装所提供的一切更新。将设备升级到可用的最新版本，比停留在修复此漏洞的最低版本更好，因为后续更新还包含其他安全修复。
  2. 开启自动更新。 在同一菜单中启用自动安装，以便未来的补丁无需你手动记着也能自动到达。
  3. 同时更新Safari和你的Mac。 NVD条目将Safari和macOS列为受影响产品，因此请检查你使用的任何Mac上的“系统设置”。
  4. 检查较旧的设备。 如果某台iPhone或iPad已无法接收最新大版本，请查看其自身版本是否有安全更新。Apple为较旧硬件发布了iOS 16.7.8和iPadOS 16.7.8。如果某台设备不再收到任何更新，可考虑不再将其用于网银等敏感任务。

VPN在哪些方面有帮助，在哪些方面没有

VPN会加密你的设备与VPN服务器之间的流量，并向你访问的网站隐藏你的IP地址。这在公共Wi-Fi上和一般隐私保护方面很有用。但它不是补丁。

该漏洞存在于Apple软件处理设备上代码的方式中。VPN无法修复这一点，也无法阻止已在运行的恶意软件读取本地存储的数据。如果信息窃取程序进入了未修补的设备，你的流量所经过的隧道并不能阻止它收集设备上的内容。一些VPN应用包含可选的链接或恶意软件拦截功能，但这些功能各不相同，不应取代更新。

可将VPN视为一层隐私保护，而软件更新才是真正关上这扇特定门的那一层。

这对你意味着什么

如果你的Apple设备已完全更新，你就能免受这一特定漏洞的影响，CISA的收录更多是一种提醒。如果你一直忽略更新提示，这就是一个停止忽略的好理由。更重要的教训在于被盗凭据。信息窃取程序之所以危险，是因为它们窃取的数据可被复用于其他账户，因此良好的账户卫生习惯能在某些东西漏过时限制损害。

关键要点

  • 今天就更新。 安装最新的iOS、iPadOS、macOS和Safari更新，并启用自动更新。这是Apple CVE-2024-27834信息窃取漏洞更新的核心步骤。
  • 为每个账户使用唯一密码，最好通过密码管理器管理，这样一次登录信息被盗不会解锁其他账户。
  • 在所有提供的地方开启双因素认证，尤其是电子邮件、银行和你的Apple账户。
  • 不要依赖VPN来修复软件漏洞。 让它发挥所长，例如保护不可信网络上的流量。
  • 对可信工具保持怀疑。 我们对AnySign4PC零日漏洞的分析，就是熟悉软件变成攻击途径的又一个例子。

现在检查你的Apple设备，安装待处理的更新，并花十分钟审查你的账户安全。这是对CISA警告最有效的回应。