2026 年 11 月 4 日，美国网络安全与基础设施安全局（CISA）把 Apple WebKit 漏洞 CVE-2024-27834 新列入已知在野利用漏洞目录（KEV），目录版本升至 2026.11.04、总数 1,768 条，联邦机构修复期限为 2026 年 11 月 18 日。同一天，安全公司 Sekoia 公布了代号 Poisoned Source 的水坑攻击活动报告，该漏洞出现在其中一条针对旧版 iOS 的利用链里。本文只讲防御：受影响版本、修复版本与自查步骤。
这是什么漏洞
CVE-2024-27834 是 WebKit 中的不当身份验证问题。按 CISA 目录条目与 NVD 记录的描述，已具备任意读写能力的攻击者可借此绕过指针验证（Pointer Authentication）这一防护机制。需要说清楚一点：它本身不是一个“打开网页就直接攻陷手机”的独立入口，而是利用链中的一环——攻击者需要先具备读写能力，再用它绕过后续防护。NVD 给出的 CVSS 3.1 评分为 5.5（中危）；这一次值得优先处理的原因不是分数，而是 CISA 的 KEV 列入本身，即已有可靠的在野利用证据。
相关的在野利用活动
Sekoia 报告的 Poisoned Source 活动于 2026 年 10 月中旬被发现，攻击者通过被篡改的网站、仿冒域名以及一段被植入恶意代码的第三方网站统计脚本（2026 年 8 月 27 日至 9 月 3 日期间被篡改）接触访客，先识别设备与浏览器版本，再投放与之匹配的已修复漏洞利用链。Sekoia 以中高置信度将该活动归因于 APT29（又称 Midnight Blizzard）。其中，针对 iOS 16.7 设备的利用链同时使用了 CVE-2025-43529 与 CVE-2024-27834，目标是窃取 Safari 浏览器 Cookie；针对更新系统版本的其他利用链则使用了另外的漏洞编号，不在本文漏洞的讨论范围内。Sekoia 同时强调：该活动使用的全部漏洞在活动开始前均已有修复补丁，运行最新系统的用户不受这些利用链影响；其观察到的载荷未建立持久化。
受影响版本与修复版本
受影响的是 2024 年 5 月修复发布之前的版本。按 Apple 当时的安全公告，修复版本为：Safari 17.5；iOS 与 iPadOS 17.5，以及面向旧设备的 iOS 与 iPadOS 16.7.8；macOS Sonoma 14.5；tvOS 17.5；watchOS 10.5。此后发布的更新版本均已包含该修复。也就是说，判断标准很简单：设备系统与 Safari 版本只要不低于上述修复版本，就不在该漏洞的影响范围内。
自查与处理步骤
1. 查版本：iPhone、iPad 打开“设置 > 通用 > 软件更新”，确认当前系统版本；Mac 打开“系统设置 > 通用 > 软件更新”；Safari 随系统更新一并升级，无需单独下载。
2. 升级：只要设备仍停留在 iOS 17.5 / 16.7.8、macOS Sonoma 14.5 之前的版本，就升级到该设备可用的最新版本。旧机型如果收不到大版本更新，也应安装该机型线路上的最新安全更新（例如 16.7.8 一线）。
3. 旧设备使用过的会话要复核：如果你此前长期停留在旧版本、且访问过来源不明的网站，Safari Cookie 有被窃取的可能。稳妥做法是：为邮箱、常用网站等重要账号重新登录、撤销可疑登录会话并更换重要密码；这一步是预防性措施，不代表设备一定已被入侵。
4. 不要只看分数排优先级：CVSS 5.5 的中危标签容易让人放过它，但 CISA 列入 KEV 意味着它已在真实攻击链中出现。对个人设备而言，结论只有一条：系统保持最新，就是最有效的防御。
来源口径：CISA KEV 目录（2026.11.04 版，CVE-2024-27834 条目，列入日期 2026-11-04、期限 2026-11-18、已知勒索软件利用情况未知）；Apple 2024 年 5 月安全公告（Safari 17.5、iOS 17.5 / 16.7.8、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5）；Sekoia Poisoned Source 报告（2026 年 11 月 4 日，归因置信度为中高）。