Bleeping Computer 網站消息，CISA 近期警告稱，一個影響蘋果 iPhone、Mac、 TVs 和手表的內核安全漏洞正在被威脅攻擊者積極利用。

據悉，漏洞被追蹤為 CVE-2022-48618，由蘋果公司的安全研究人員發現并上報，但令人疑惑的是直到2024 年 1 月 9 日才在 2022 年 12 月發布的安全公告更新中披露。目前，蘋果公司尚未透露 CVE-2022-48618 漏洞是否在兩年前首次發布安全公告時被悄悄修補過。

蘋果公司方面透露，具有任意“讀寫”能力的威脅攻擊者能夠利用 CVE-2022-48618 漏洞繞過指針驗證，該安全功能旨在阻止試圖利用內存損壞漏洞的網絡攻擊，在 iOS 15.7.1 之前發布的 iOS 版本中，CVE-2022-48618 漏洞可能已經被利用了。

受 CVE-2022-48618 漏洞影響的蘋果設備非常多，主要包括以下幾種型號：

• iPhone 8 及更新機型、iPad Pro(所有機型)、iPad Air 第三代及更新機型、iPad 第五代及更新機型和 iPad mini 第五代及更新機型;
• 運行 macOS Ventura 的 Mac;
• Apple TV 4K、Apple TV 4K(第二代及更新機型)和 Apple TV HD;
• Apple Watch Series 4 及更高版本。

蘋果公司改進了對運行 iOS 16.2 或更高版本、iPadOS 16.2 或更晚版本、macOS Ventura 或更新版本、tvOS 16.2 或更低版本以及 watchOS 9.2 或更高級別的設備檢查，解決了 CVE-2022-48618 漏洞問題。

美國勒令聯邦機構在 2 月 21 日前打補丁

雖然蘋果公司尚未分享有關 CVE-2022-48618 漏洞在野外是否被利用的更多細節，但 CISA 已將該漏洞添加到其已知漏洞目錄中，并且命令美國聯邦機構按照 2021 年 11 月發布的約束性操作指令 (BOD 22-01) 的要求，在 2 月 21 日前修補 CVE-2022-48618 漏洞。

近期，蘋果漏洞頻出。上周，蘋果公司發布了安全更新，修補了今年首個在網絡攻擊中被利用的零日漏洞（CVE-2024-23222）。該漏洞是一個 WebKit 混亂問題，威脅攻擊者可利用其在有漏洞的 iPhone、Mac 和蘋果電視上執行代碼。

同一天，蘋果公司還向舊版 iPhone 和 iPad 機型回傳了針對另外兩個 WebKit 零日漏洞的安全更新補丁，這兩個漏洞分別被追蹤為 CVE-2023-42916 和 CVE-2023-42917，已經在 11 月份為較新的設備打上更新補丁了。

參考文章：https://www.bleepingcomputer.com/news/security/cisa-warns-of-patched-iphone-kernel-bug-now-exploited-in-attacks/