蘋果最新的 iOS 27.2.1 安全更新據報未能修補 worse_query 漏洞。儘管該更新修復了另外九項安全問題，但這一漏洞可能導致加密貨幣錢包憑證暴露。
- 蘋果在2027年2月1日的更新中修復了九項安全漏洞，但研究worse_query漏洞的專家表示，該問題仍未被修復。
- worse_query 漏洞可能讓惡意應用程式繞過 iOS 沙箱限制，並有可能存取加密錢包中儲存的敏感資訊。
- 幣安敦促加密用戶刪除不受信任的應用、更新設備，並在懷疑憑證已泄露時將資金轉移到新錢包。
- 蘋果官方安全說明並未將 `worse_query` 列入本次更新修復的問題之中。
這一漏洞利用方法的研究者 forcequitOS 在 11 月 10 日表示，該漏洞在 iOS 27.2.1 和 iOS 27.3 的首個測試版中仍然有效，這與外界認為蘋果最新更新已解決該問題的說法相矛盾。
蘋果於 11 月 9 日發布了 iOS 27.2.1，也就是在該研究人員將漏洞利用源代碼發布到 GitHub 的一天後。蘋果官方安全說明列出了多個組件的修復內容，但並未提及 worse_query。
在幣安警告稱惡意應用可能利用該漏洞訪問其他應用的敏感文件、從而可能暴露私鑰和錢包助記詞之後，這一披露引發了加密貨幣用戶的擔憂。
研究者稱 worse_query 在 iOS 27.2.1 中仍未修復
在11月10日於X上發布的一項聲明中，forcequitOS直接回應了蘋果最新軟件發布後，外界對該漏洞狀態的混淆。
該研究人員表示，worse_query「在 iOS 27.2.1 和 27.3 以及 beta 1 中都沒有被修復」，並稱會在蘋果發布有效的修復方案後更新該項目文檔。
根據 GitHub 仓库信息，該漏洞影響了 iOS 的 26.0 至 26.7.2 版本，以及 iOS 的 27.2 版本。開發者稱其為之前一個名為 bad_query 的漏洞的後續版本。
`worse_query` 针對的是蘋果的應用沙箱機制。該機制通常會限制每個應用只能訪問自己的文件，並阻止其未經授權訪問其他應用儲存的信息。
已發布的概念驗證顯示，一個應用程式可以規避這些限制，存取無關應用程式的数据容器，包括共享應用程式組以及某些系統目錄。
儘管研究人員稱最初發布的代碼只是一個開發者工具，在沒有額外配置的情況下無法獨立使用，但此後已有其他開發者構建出能夠使用這一技術的應用程式。
其中一個例子是由 Christoph Kolbicz 開發的 WQ Files。該應用讓用戶在無需越獄 iPhone 的情況下，能夠瀏覽、導出、修改和刪除其他應用的文件。
蘋果此次安全更新修復了九項獨立漏洞
根據蘋果官方安全公告，iOS 27.2.1 修復了影響 AirPlay、藍牙、Messages、App Intents、Brotli、CoreUtils 和 rapportd 的九項漏洞。
其中包括 CVE-2026-113963，這是 App Intents 中的一個授權漏洞，可能允許應用程式存取使用者敏感資訊。
蘋果將此問題歸功於安全研究員 Lá szl ó Vá rady 的發現，並表示已通過改進狀態管理解決了該問題。
雖然這一漏洞同樣涉及對敏感信息的未授權訪問，但蘋果文檔指出，受到影響的是與worse_query所利用的App Group機制不同的組件。
此次更新還修復了兩項 Messages 漏洞，其中一項可能允許遠端攻擊者未經授權加入 iMessage 群聊並接收消息。
另一項漏洞可能會讓新加入的參與者查看他們在加入對話之前發送的訊息。
其他補丁還修復了藍牙配對的弱點，以及由特製輸入觸發的 Brotli 内存損壞漏洞。
蘋果已向 iPhone 11 及更新型號，以及受支持的 iPad 提供該更新。
幣安警告加密錢包可能面臨暴露風險
在研究者發表聲明之前，幣安已於11月10日發出警告，指出受影響的軟件版本包括iOS 26.7.1、27.0.1和27.2。
正如 crypto.news 之前報導的，幣安警告稱，惡意應用可能會訪問其他應用程式的本地儲存資訊，從而可能暴露錢包的助記詞、私鑰和登錄憑證。
一位幣安發言人表示，該交易所尚未發現任何已確認與worse_query相關的加密貨幣失竊事件。
幣安建議用戶刪除從不可信來源安裝的應用程式，包括側載或手動簽名的 IPA 檔案，並將設備和應用程式更新至最新的官方版本。
對於懷疑憑證已經洩露的用戶，幣安建議將資產轉移到在乾淨設備上創建的新錢包中，並重置當前活躍的登錄會話。
這項警告特別針對能夠利用該沙盒漏洞的應用程式。已公開的漏洞利用需要應用程式配置 App Group 容器，這意味著該技術並不能僅通過普通的網頁瀏覽就獨立攻破一部 iPhone。
因此，幣安的建議並不僅限於安裝蘋果最新的軟件更新。在該漏洞仍令人擔憂之時，該交易所還敦促用戶避免使用未經授權的應用安裝包。
