根據 9to5Mac 的報導，Apple 在週二隨 iOS 26.4 的全面發佈，針對超過 35 項漏洞推出了一系列安全補丁。雖然一般的單點發佈通常會包含大量修復，但這次有幾個特定的漏洞值得關注。以下是一些引起注意的漏洞。
首先，最重要的漏洞是「被盜設備保護繞過」（CVE-2026-28895）。這個漏洞允許有實體接觸的使用者僅透過密碼繞過生物識別保護的應用程式，即使啟用了被盜設備保護。這意味著，即便用戶啟用了需要面部識別的選項，仍然可以使用設備的密碼直接訪問這些應用程式。Apple 表示，這個問題已經得到修復，並改善了檢查機制。
另一個有趣的漏洞是「本地攻擊者能獲取 Keychain 存取權限」（CVE-2026-28864）。雖然細節不多，但根據 Apple 的說法，本地攻擊者可能因為權限檢查不足而獲得 Keychain 項目的訪問權限。Keychain 存儲密碼、加密金鑰和令牌等資料，這樣的漏洞意味著本地權限提升的風險，儘管需要實體設備，但這正是被盜設備保護的設計目的。
還有一個漏洞是「郵件隱私設置未正常運作」（CVE-2026-20692）。這個漏洞揭示了隱藏 IP 地址和阻止所有遠程內容的設置可能未能應用於所有郵件內容。若用戶已開啟這些設置，仍有可能會遭到發件人追蹤，這樣的情況令人擔憂。
另外，通過打印的沙盒逃脫漏洞（CVE-2026-20688）允許應用程式因打印框架中的路徑處理問題而脫離沙盒。沙盒逃脫總是引起關注，因為這是攻擊鏈中的關鍵環節，逃出沙盒後攻擊面會顯著擴大。
WebKit 的情況也不容樂觀，七個 CVE 加上沙盒問題。亮點包括同源策略繞過（CVE-2026-20643）、內容安全政策繞過（CVE-2026-20665）以及一個允許惡意網站處理受限網頁內容的漏洞（CVE-2026-28859）。這些問題的嚴重性不容忽視。
這些漏洞目前尚未被確認為在野外被積極利用，這是比較好的消息。然而，這些問題的嚴重性對於一次單點發佈來說是相當引人注意的。特別是被盜設備保護繞過、Keychain 訪問問題以及郵件隱私設置失效，並非一般用戶常見的問題。建議所有設備儘快更新至 iOS 26.4。
完整的 iOS 26.4、macOS 26.4、tvOS 26.4、iPadOS 26.4 及其他平台的補丁列表可在 Apple 的安全發佈頁面上查看。
