苹果近日向公众推送 iOS 27.2 系统更新，此次修复包含超过 160 项安全漏洞。其中，编号为 CVE-2026-86990 的关键漏洞尤为引人关注，该漏洞允许恶意应用在未经用户许可的情况下，秘密访问 iPhone 或 Mac 的摄像头。
核心组件存隐患，权限控制被绕过
该漏洞潜伏于处理音视频的核心组件 CoreMedia 框架中，由研究人员 Mustafa Calap 发现。苹果在更新说明中仅简要提及“通过改进访问限制解决了访问权限问题”，但其实际影响深远。
正常情况下，macOS 的 TCC（透明度、同意和控制）机制作为守门员，会在应用请求摄像头权限时弹出提示，确保用户明确同意后方可访问。然而，此漏洞可完全绕过这一授权提示框，使恶意软件在用户毫无察觉的情况下获取实时画面。
物理遮挡非万全，软件监控更可靠
值得注意的是，即便使用物理摄像头遮挡片，风险仍未完全消除。虽然漏洞利用的是权限绕过而非屏蔽指示器，摄像头激活时状态栏绿点（iPhone）或物理 LED（Mac）仍会亮起，但若用户离开座位或设备屏幕朝下，指示灯的警示作用将大打折扣。
在此场景下，Patrick Wardle 开发的免费开源工具 OverSight 提供了更有效的防护方案。该工具能在摄像头或麦克风被激活时即时发出警报，并显示触发应用名称，弥补了物理遮挡无法记录活动日志的短板。
暂无野外利用迹象，建议尽快升级
目前尚无证据表明该漏洞已在野外环境中被实际利用。尽管如此，安全专家建议用户尽快升级至最新系统：iOS 27.2 和 macOS Golden Gate 27.2。若因兼容性原因暂不升级，也请至少安装 iOS 26.7.2 和 macOS Tahoe 26.7.2。针对 iPhone XS 和 XR 等较旧机型，相关补丁将通过 iOS 18.7.11 推送。
此外，这也是审查隐私设置的良机。用户可前往“设置”>“隐私与安全性”>“相机”（iPhone）或“系统设置”>“隐私与安全性”>“相机”（Mac），检查已授权应用列表，及时撤销不再使用或陌生应用的访问权限。