macOS 26.7.1 与 15.8.1 零日漏洞补丁及 27.0.1 更新指南

2026 年 9 月 28 日，苹果在同一天发布了三个 Mac 更新：macOS Golden Gate 27.0.1、macOS Tahoe 26.7.1 和 macOS Sequoia 15.8.1。其中两个包含的修复，其重要性远超版本号本身所暗示的程度。macOS Tahoe 26.7.1 和 Sequoia 15.8.1 的安全公告描述的是同一个 CoreGraphics 漏洞 CVE-2026-86950，苹果表示已获悉有报告称该漏洞「可能已在针对特定目标个人的极其复杂的攻击中被利用」。而第三个更新 27.0.1 则完全没有已发布的 CVE 条目。那么这三个更新你究竟需要哪一个？这取决于你的 Mac 型号，以及它目前运行的 macOS 版本，而对于停留在 Sonoma 的 Mac，答案并不让人舒服。本文按机型逐一梳理，解释这个漏洞是什么、「特定目标个人」这类措辞对普通用户意味着什么，并一步步演示如何安装正确的更新，避免不小心跳到 macOS 27。

要点速览

• Tahoe 和 Sequoia 的 Mac 应立即安装更新。 macOS Tahoe 26.7.1 和 macOS Sequoia 15.8.1 修复了 CVE-2026-86950，这是一个 CoreGraphics 越界写入漏洞，在处理恶意构造的文件时可能导致任意代码执行。苹果官方页面分别是 Tahoe 的 149228 和 Sequoia 的 149229。
• 被利用的报告针对的是 iOS，且范围很窄。 苹果的原话是，该问题「可能已在针对特定目标个人的极其复杂的攻击中，于 iOS 27 之前的 iOS 版本上被利用」。苹果并未说 macOS 遭到攻击，但同样的漏洞存在于 macOS 代码中，这就是补丁发布的原因。
• macOS 27.0.1 是缺陷修复版本，不是安全版本。 苹果列出的该更新没有已发布的 CVE 条目。解读苹果公告清单的评论者称，Golden Gate 似乎不受该 CoreGraphics 漏洞影响。
• Intel Mac 和 Sonoma Mac 是尴尬的情形。 Intel Mac 无法运行 macOS 27，因此唯一的途径是 26.7.1（四款 Intel 机型）或 15.8.1（其余机型）。9 月 28 日苹果没有为 Sonoma 发布任何内容；苹果安全页面上最新的 Sonoma 版本是 8 月 6 日的 14.8.9。
• 在 Tahoe 的 Mac 上，请点击 26.7.1 条目旁的「立即更新」，而不是「升级」。 Tahoe Mac 上的软件更新会同时列出 26.7.1 和 27.0.1，一次草率的点击或一条草率的 --recommended 命令都可能把你带到 macOS 27。
• 27.0.1 的构建号在媒体上存在争议，但苹果自己的更新目录给出了答案。 9to5Mac 印的是 26A5434；运行 Tahoe 的 Mac 上更新目录列出的是 26A434，另外四个来源也是这个数字。

苹果在 9 月 28 日实际发布了什么

苹果的安全公告页面列出了 2026 年 9 月 28 日的八个条目：面向 iOS、iPadOS、macOS、watchOS 和 visionOS 的 27.0.1 版本，以及 iOS 和 iPadOS 26.7.1、macOS Tahoe 26.7.1 和 macOS Sequoia 15.8.1。其中 Mac 版本如下：

版本	苹果的说明	CVE 条目
macOS Golden Gate 27.0.1	缺陷修复；企业版说明中有一项 Platform SSO 修复	未发布
macOS Tahoe 26.7.1	CoreGraphics 越界写入	CVE-2026-86950
macOS Sequoia 15.8.1	CoreGraphics 越界写入	CVE-2026-86950

两条安全条目的措辞一字不差。苹果的描述是：「处理恶意构造的文件可能导致任意代码执行」，修复则被描述为「通过改进边界检查解决了越界写入问题」。致谢对象是 Meta Product Security。同一个 CVE 也在 iOS 和 iPadOS 26.7.1 中得到修复，The Hacker News 在发布当天就做了报道。

这次响应相当迅速。大型补齐版本 Tahoe 26.7 和 Sequoia 15.8 仅在两周前的 9 月 14 日随 macOS 27 一同发布，我们在发布日更新指南中介绍过当天的情况。随后苹果让 26.7.1 和 15.8.1 经历了候选发布版测试；Mac 新闻网站报道称 Sequoia 15.8.1 的第二个候选发布版出现在 9 月 21 日。也就是说，这个修复在公开之前大约已经测试了一周。苹果的页面没有说明底层攻击最早是何时被发现的，而且正如 The Hacker News 所指出的，苹果没有给出被针对的人数，也没有给出成功攻击的次数。

漏洞本身：CoreGraphics 是做什么的，越界写入意味着什么

CoreGraphics 是 Mac 屏幕上大量内容背后的绘图框架。它渲染 PDF 页面，解码并绘制图像，绘制矢量图形，并在许多应用中处理字体和色彩。预览、Safari、邮件的邮件视图、快速查看以及第三方编辑器，都会直接或通过其他系统框架调用它。这使它成为热门目标：攻击者不需要你安装任何东西，只需要把一个文件送到解析它的代码面前。

越界写入是一种内存安全缺陷。程序分配了一块特定大小的内存，然后由于某个长度或索引没有得到正确检查，向这块内存的末尾之外写入了数据。多出来的字节会落入相邻的任何内存中。在高手手里，这种覆盖可以被引导去改变程序状态，最终运行攻击者选定的代码。苹果对影响的概括「任意代码执行」正是这种结果的标准说法。修复方法就是苹果描述中所说的：补上缺失的边界检查，使写入不再越出缓冲区。

关于我们已知内容的三点限制：

苹果没有说明文件是如何到达的。 影响一栏说的是处理「恶意构造的文件」。它没有说这是指消息中的图像、PDF、网页还是别的东西，也没有说用户是否必须打开它。有一家安全新闻网站声称可能不需要额外的用户交互；其他报道没有说到这一步，苹果的页面也没有说明。这两种说法都应视为未经证实。

苹果没有公布严重程度评分。 聚合网站可能会显示 CVSS 数值，但苹果的安全公告并不附带该数值，因此你看到的任何数字都是第三方的估计。

被利用的报告与 iOS 相关。 苹果那句话的结尾是「于 iOS 27 之前的 iOS 版本上」。Sequoia 或 Tahoe 的页面上没有任何内容表明有 Mac 遭到攻击。合理的解读是，有缺陷的代码同样存在于 Mac 版本中。这是一种解读，而不是苹果的明确表态。

Help Net Security 指出，iOS 27.0.1、iPadOS 27.0.1 和 macOS Golden Gate 27.0.1 发布时没有已发布的带 CVE 编号的漏洞，且似乎不受影响。这是根据苹果发布清单做出的推断，而不是苹果的声明，但它与该修复在发布前已在 27 系列中完成的情况相吻合。

「特定目标个人」对普通用户意味着什么

多年来，苹果在谈到被利用的漏洞时一直使用这句完全相同的话。它描述的是商业间谍软件及类似工具：价格昂贵、管控严格，被用来对付记者、政界人士、律师、异见人士、企业高管，以及其他有人想要监视的对象。这类工具开发成本高、又容易暴露，所以运营者对投放对象十分谨慎。

这一点影响的是你该担心到什么程度，并不影响你是否应该更新。

有理由稍微放松一点，这些理由是实在的。这类工具不通过大规模钓鱼传播，苹果的措辞也没有显示存在大范围攻击。对于没有特殊背景的人来说，在补丁出现之前被击中的概率非常小。

但无论如何都应更新的理由同样实在，而且 TidBITS 说得很直白：即使你不是被针对的目标，也应在几天内安装这个 CoreGraphics 更新。苹果一旦发布描述，哪怕描述很含糊，别人也会更容易去搜寻这个漏洞。TidBITS 还补充说，如今开发者更容易让 AI 去查找这个漏洞或类似漏洞。只有少数行为者知晓漏洞的窗口期，会在补丁发布当天关闭，此后该漏洞就成了一个陈旧的、已有文档记录的、可以修复的问题，每一台未打补丁的 Mac 都带着它。此外，更新只花你一小时和一次重启。而「不会是我」这个判断一旦错了，代价可能大得多。

我中招了吗？你能检查什么、不能检查什么

目前没有面向普通用户的可靠检测方法来判断这个漏洞是否被利用过。打过补丁的 Mac 不会显示一条日志说它之前曾被入侵，论坛帖子里声称能检测到的任何做法都应持怀疑态度。这里给出两条实际建议：

• 苹果表示，对于其认为被雇佣兵间谍软件针对的个人，会通过 Apple 账户发出通知。如果你从未收到过此类通知，这稍微令人宽心，但不能作为证据。
• 如果你有具体的理由担心被针对，例如你是记者、活动人士，或与资源雄厚的一方存在纠纷，请更新系统、开启「锁定模式」（下文有介绍），并联系数字安全组织，而不是自己去尝试对 Mac 做取证检查。

你的 Mac 需要哪个更新？

两个问题决定一切：当前运行的是什么 macOS，以及这台 Mac 能运行的最新 macOS 是什么。苹果菜单，然后「关于本机」，会同时显示 macOS 名称和 Mac 型号。macOS Golden Gate 27 仅限 Apple 芯片，因此第二个问题主要对 Intel 用户重要。

按当前 macOS 划分

你正在运行	是否受 CVE-2026-86950 影响？	应安装什么	说明
macOS Golden Gate 27.0	苹果未列出	方便时安装 27.0.1	缺陷修复；无 CVE 条目。不属于安全紧急情况。
macOS Tahoe 26.x（26.7 或更早）	是，苹果列出了 Tahoe	26.7.1，或在机型支持时升级到 27.0.1	两者都能消除风险。
macOS Sequoia 15.x（15.8 或更早）	是，苹果列出了 Sequoia	15.8.1，或在支持时升级到 Tahoe 或 27	与 Tahoe 的修复相同。
macOS Sonoma 14.x	苹果未发布任何内容	Sonoma 没有可用更新	升级到 Sequoia 或更高版本。
macOS Ventura 或更早	苹果未发布任何内容	没有可用更新	早已过了补丁支持期。

苹果的安全公告页面列出的最新 Sonoma 条目是 2026 年 8 月 6 日的 Sonoma 14.8.9，9 月 14 日和 28 日都没有 Sonoma 版本。苹果的 Tahoe 和 Sequoia 页面分别写着「Availability: macOS Tahoe」和「Availability: macOS Sequoia」，没有提及 Sonoma。我们不知道该漏洞是否存在于 Sonoma 的代码中。苹果没有说明，而且也从未发布修复，所以从唯一重要的意义上说，Sonoma Mac 在这里处于未打补丁的状态：没有更新可用。我们的 Sonoma 安全更新终止指南介绍了该怎么办，简短的结论是：如果你的 Mac 能运行 Sequoia 或更高版本，就升级。

按 Mac 型号划分

对大多数人来说，机型决定了有哪些更新可用。苹果的 Tahoe 兼容性页面列出了能运行 macOS Tahoe 的 Mac。其中 Intel 机型只有四款：

• MacBook Pro（16 英寸，2019 年）
• MacBook Pro（13 英寸，2020 年，四个雷雳 3 端口）
• iMac（Retina 5K，27 英寸，2020 年）
• Mac Pro（2019 年）

该页面上其余所有 Mac 都是 Apple 芯片。我们的最终 Intel 兼容性列表解释了更大的背景，而 2020 年起的 Apple 芯片 Mac 也都可以运行 macOS 27。

Mac	能运行的最新 macOS	你的目标补丁版本
Apple 芯片 Mac（M1 或更新，或搭载 A18 Pro 的 MacBook Neo）	macOS 27 Golden Gate	27.0.1；若留在 Tahoe，则为 26.7.1
上述四款 Intel Mac	macOS Tahoe 26	26.7.1（这些 Mac 的最后一个 macOS）
其他能运行 Sequoia 的 Intel Mac	macOS Sequoia 15	15.8.1
止步于 Sonoma 的 Intel Mac（2018 和 2019 款 MacBook Air）	macOS Sonoma 14	没有修复；Sonoma 指南介绍了你的选择

对于一台可以升级到 Tahoe 的 Sequoia Intel Mac，有一个小小的取舍：Sequoia 15.8.1 修复了这个漏洞，并且大约还会获得一年的支持，而 Tahoe 大约可以多撑两年。这是我们的 Sonoma 文章里算过的账，现在依然成立。Intel Mac 完全无法运行 macOS 27，所以 Tahoe 就是它们的上限，每一个 Tahoe 安全版本都是保持补丁齐全的唯一途径。

Apple 芯片的问题：留在 Tahoe 还是升到 27？

Tahoe 上的 Apple 芯片 Mac 面临一个真实的选择。26.7.1 和 macOS 27.0.1 都可以安装，而且都修复了这个 CVE。升到 27 的安全理由是更长的支持周期。留下来的理由是稳定：macOS 27 于 9 月 14 日发布，任何大版本发布后的头两周都会产生最多的缺陷报告。如果你的工作依赖某个特定的应用、驱动或调度中心设置，先装 26.7.1、以后再考虑 27，完全没有问题。我们那篇 macOS 27 中调度中心与空间的问题文章列出了大家反馈的情况，跳升之前值得浏览一下。

你不该做的是等着 macOS 27「感觉成熟了」，同时让 Tahoe 处于未打补丁的状态。留在 Tahoe，就意味着要安装 26.7.1。

macOS 27.0.1 实际修复了什么

苹果的公开说法很单薄。面向消费者的说明称该更新「为你的 Mac 提供缺陷修复」，而苹果自己的安全页面对它只写了「无已发布的 CVE 条目」。MacRumors 在发布报道中指出，苹果没有说明修复了哪些缺陷，并引用了一位读者对细节缺失的抱怨。除此之外，有用的细节来自那些阅读企业版说明并检查更新内容的人：

• Platform SSO 锁定屏幕修复。 Mr. Macintosh 引用了企业版发行说明：苹果解决了「Platform SSO 在从睡眠唤醒后的锁定屏幕上不显示用户名和密码字段」的问题。Howard Oakley 的总结也认同该更新修复了未具名的缺陷，外加一个影响 Platform SingleSignOn 的问题。
• Safari 27.0.1。 Safari 升级到 27.0.1，构建号 22625.1.29.11.28，Mr. Macintosh 和 Oakley 都是这么写的。
• 小幅应用升级。 Oakley 报告称，密码 App 升到 3.0.1（他列表中变化最大的一项），邮件、信息和快捷指令有小幅版本递增，并且系统库也有更新，涉及屏幕使用时间、翻译框架、SingleSignOn 支持、聚焦的邮件索引器等。这份清单是 Oakley 通过比对文件发现的，不是苹果的更新日志。
• 固件未变。 Apple 芯片的系统固件保持在 20457.1.29，与 macOS 27.0 相同，Mr. Macintosh 和 Oakley 都这样说。
• 大小。 Mr. Macintosh 给出的从 27.0 起的增量约为 3.31 GB，Oakley 说大约是 3.3 GB。从其他起点更新的 Mac 可能会看到不同的数字，下文会展示。

如果你管理使用 Platform SSO 的 Mac，这意味着什么

如果你的设备群使用 Platform SSO，并且用户反馈 Mac 从睡眠唤醒后锁定屏幕上没有用户名和密码字段，那么这正是苹果企业版说明中称已在 27.0.1 修复的症状。在把这个修复视为对你的身份提供商已得到证实之前，请先在试点 Mac 上测试一次唤醒周期，包括一台锁定过夜的 Mac。我们无法打开苹果针对 27.0.1 的单独企业页面，因此以上措辞是 Mr. Macintosh 所引用的原文。

哪些没有修复，或者尚不清楚

不要把 27.0.1 理解成对 Golden Gate 各种抱怨的修复。苹果没有列出调度中心或空间方面的修复，也没有列出存储空间增长方面的修复。MacRumors 上有一位读者评论声称，27.0.1 之后即使关闭了相关功能，Apple Intelligence 的磁盘占用也增加了；这只是个别经验，我们无法证实。请在存储空间设置里查看自己的数字，而不要轻信这种个案。

另外要注意发布顺序。苹果跳过了公开的 27.1 测试版，直接进入 27.2 测试版，正如我们在调度中心那篇文章里提到的，所以 27.0.1 很可能就是你未来几周要用的那个更新。

核对版本号和构建号

安装之后，请确认你运行的是什么。苹果菜单「关于本机」（或「系统设置」，「通用」，「关于」）会显示 macOS 版本。在终端中，下面的命令会直接打印版本和构建号：

sw_vers

输出包含三行：ProductName、ProductVersion 和 BuildVersion。若想要更完整的一行，system_profiler SPSoftwareDataType | head -6 会打印「System Version」，版本和构建号在括号内。

下面是我们能够佐证的数字及其来源。

版本	版本号	构建号	来源与可信度
macOS Tahoe	26.7.1	25G241	9to5Mac、iClarified，以及 Tahoe Mac 上的更新目录（见下）
macOS Sequoia	15.8.1	24H32	iClarified 和 BetaWiki，作为发布版构建号报道；未在苹果自己的页面上见到
macOS Golden Gate	27.0.1	26A434	更新目录、Oakley、Mr. Macintosh、iClarified；9to5Mac 印的是 26A5434

存在争议的 27.0.1 构建号

9to5Mac 的文章给出的 27.0.1 构建号是 26A5434。Mr. Macintosh、Howard Oakley 和 iClarified 都给出 26A434，苹果 IPSW 固件的聚合网站也列出 26A434。我们此前的报道还记录 macOS 27.0 的构建号是 26A428，与 26A434 顺理成章地衔接。

不过，最有力的证据是苹果自己的更新目录。9 月 30 日，我们在一台运行 macOS Tahoe 26.5.2 的 Mac 上执行了 softwareupdate --list，返回的内容中包括：

* Label: macOS Tahoe 26.7.1-25G241
	Title: macOS Tahoe 26.7.1, Version: 26.7.1, Size: 3852999KiB, Recommended: YES, Action: restart,
* Label: macOS 27.0.1-26A434
	Title: macOS 27.0.1, Version: 27.0.1, Size: 11852702KiB, Recommended: YES, Action: restart,

这是苹果的软件更新服务器在给这两个构建命名，与 25G241 和 26A434 一致。我们倾向于把 26A5434 视为某篇文章里的笔误。构建号的意义在于核对你的 Mac 是否匹配，所以如果你的读数不同，不要就此认定自己没打补丁；请先看版本号，构建号只用作佐证。（15.8.1 的构建号 24H32 我们无法在自己的 Mac 上核对，因为它不会提供给 Tahoe 机器，所以它依赖表中的第三方来源。）

解读大小数字

目录显示 26.7.1 为 3,852,999 KiB（约 3.7 GiB），27.0.1 为 11,852,702 KiB（约 11.3 GiB）。第二个数字并不是 27.0.1 的增量：它看起来是把 macOS 27 作为升级提供给运行 Tahoe 26.5.2 的 Mac。大小取决于你从哪个版本更新，所以没有哪个单一数字就是你要下载的大小。

如何安装每个更新

在运行 Tahoe 或 Sequoia 的 Mac 上

打开「系统设置」，点按「通用」，然后点按「软件更新」。支持 macOS 27 的 Mac 会显示两项内容：升级到 macOS 27，以及另外一项针对你当前版本的更新。苹果的更新说明描述了路径（通用，然后软件更新），但没有明确说明如何避免升级。对此，最清楚的文档是 Daring Fireball 的文章，它讲述了 Tahoe 时代软件更新界面的布局。该面板有一个针对新大版本的「升级」区域，以及一个「其他更新」区域，后者有自己的「立即更新」按钮，用于当前版本的更新。Gruber 的发现是，第二个区域中的「立即更新」按钮安装的是当前 macOS 的更新，而不是升级，而那个小的信息按钮会打开一个面板，其中预先勾选的复选框与这些按钮实际安装的内容无关。他的建议是：点按你自己版本条目旁边的「立即更新」，除非你清楚自己在做什么，否则避免点信息按钮。

我们的依据是这份描述加上上面的目录输出。苹果以前改过这个界面，我们也没有在每一个 macOS 27 或 26.7 构建上验证它的样子，所以请看清屏幕：你要的更新叫「macOS Tahoe 26.7.1」或「macOS Sequoia 15.8.1」，而不是「macOS 27」。如果按钮写的是「升级」而名称是 macOS 27，说明你即将进行一次 12 GB 的大版本升级，这也许正是你想要的，但应当是一个主动的决定。

请按以下步骤操作：

1. 先备份。小版本更新风险很低，但你即将在会话中途重启一台机器。
2. 关闭重要文档。更新会重启 Mac；苹果的目录对两者都标注了「Action: restart」。
3. 点按 Tahoe 或 Sequoia 条目上的「立即更新」，如有提示请输入密码。
4. 保持 Mac 接通电源。对于 MacBook，安装过程中不要合上盖子。
5. 完成后登录，并按上文所述检查版本。

在运行 macOS 27.0 的 Mac 上

Golden Gate 27.0 用户可以在「系统设置」，「通用」，「软件更新」中找到 27.0.1 更新，MacRumors 的报道也是这么描述的。需要重启。由于这是 macOS 27 内部的小版本更新，不存在会误升级到的目标，选择很简单。

通过终端使用 softwareupdate

命令行工具适用于脚本、远程会话，以及准确查看将要安装的内容。下面的一切都来自 macOS Tahoe 上该工具自己的手册页（man softwareupdate）。我们没有用这些命令在一台随后为 26.7.1 重启的 Mac 上执行过安装，所以请把安装命令当作附带所述注意事项的文档化语法。

softwareupdate --list

--list 不需要管理员权限。它会显示每个可用更新的 Label、Title、Size、Recommended 标志和 Action。在我们的 Tahoe 26.5.2 Mac 上，输出把 26.7.1 更新和 27.0.1 升级都显示为 Recommended。这带来一个直接后果。

不要盲目运行 --install --recommended。 手册称 --recommended 会安装「所有对你的系统推荐的更新」。在我们的 Mac 上，macOS 27.0.1 带有「Recommended: YES」，所以可以预料这条命令会把大版本升级也包括进去。我们没有去运行它验证；先列出再决定更安全。

请改为按标签安装特定更新。请原样复制打印出的标签，因为苹果是用标题和构建号组合出它的：

sudo softwareupdate --install "macOS Tahoe 26.7.1-25G241"

上面的标签来自我们 Tahoe 目录的列表。对于 Sequoia，请在那台 Mac 上运行 --list 并复制它显示的标签；我们无法从 Tahoe 机器上看到它，所以不提供具体标签。有用的文档化选项：

选项	手册所述的作用
--list	列出所有可用更新
--install item	下载并安装指定的更新
--download item	只下载不安装；之后可通过 --install 或「系统设置」安装
--restart	若安装需要则自动重启；已登录用户的 App 会被退出，--force 则加上强制重启
--os-only	仅限 macOS 更新
--safari-only	仅限 Safari 更新
--stdinpass 和 --user	提供所有者密码和所有者用户以进行授权；仅限 Apple 芯片

最后两项只适用于 Apple 芯片，用于无人值守安装、没人能输入密码的场景。在把密码写进任何脚本之前，请先阅读手册。

若想反过来做，可以用 --safari-only 单独安装 Safari，再按标签安装 macOS 更新。请注意，我们的软件更新故障排除指南中的完整安装器方法使用的是 --fetch-full-installer，它针对的是完整安装器，而不是小版本更新。

撤销

安全更新没有撤销按钮；要回退，只能依靠安装前的 Time Machine 备份或完整重装。苹果的「后台安全改进」有自己的移除机制，我们的 BSI 指南对此做了说明，但就苹果页面所示，26.7.1 和 15.8.1 是普通更新。况且回滚一个已知被利用漏洞的修复，很少是明智之举。

受管 Mac：延迟、截止日期与 CISA 列表

如果你管理 Mac，第一个问题是有没有某个延迟策略在悄悄拦着这个更新。苹果设备管理资料中的两个事实（我们在 MDM 软件更新命令指南中已阐述）决定了你如何处理。

在 macOS 27 上，旧版命令和限制不再起作用。 苹果表示「旧版软件更新管理在所有 27.0 操作系统中不再起作用」。27.0 上的 Mac 通过声明式管理获得 27.0.1：使用 com.apple.configuration.softwareupdate.enforcement.specific 声明要求在截止日期前升到指定版本，使用 softwareupdate.settings 配置延迟和自动操作。

在 Tahoe 和 Sequoia 上，情况有所不同。 这些版本早于该移除，因此旧机制和声明式机制可能同时起作用。如果某项策略把小版本更新延迟例如 30 天，26.7.1 和 15.8.1 可能会被扣留这么长时间。在假定设备群已打好补丁之前，请检查延迟配置和试点环。对于已知被利用的漏洞，多数管理员会希望为这一个版本缩短延迟，或带着强制截止日期推送。

• Sonoma 及更旧的 Mac 没有更新可推送。 请规划系统升级，并把这类 Mac 放进观察清单，而不是补丁清单。
• 在广泛推送之前先测试 27.0.1 上的 Platform SSO。 锁定屏幕的修复是许多身份管理 Mac 想要这个更新的原因，所以先在试点组验证唤醒后登录。
• 锁定模式会阻止配置描述文件。 苹果的锁定模式页面称，开启期间无法安装配置描述文件，因此在受管 Mac 上启用它会影响注册和描述文件更新。请审慎决定。

CISA 列表

CISA 于 9 月 29 日将该漏洞加入其已知被利用漏洞目录。CISA 的警报将其命名为「Apple Multiple Products Out-of-Bounds Write Vulnerability」，并引用了正在被积极利用的证据。美国联邦文职机构 2026 年 10 月 2 日的整改截止日期来自 The Hacker News；我们打开的 CISA 警报页面提到了 Binding Operational Directive 26-04，但自身没有写出日期，所以如果需要权威的截止日期，请查看 KEV 目录条目。KEV 截止日期约束的是联邦机构，而不是家庭用户或企业。但它仍是一个方便的参照标准。如果你遵循的合规框架把 KEV 条目视为优先补丁，这就是信号，而对于并不特殊的机器，为已知被利用的漏洞设定三天的窗口是合理的内部目标。

面向高风险用户的锁定模式

锁定模式是苹果的可选加固设置。苹果将其描述为一种「可选的极端保护」，专为极少数因身份或工作性质而可能被复杂网络威胁个别针对的人设计。它并不适合所有人，苹果自己也这么说。

在 Mac 上，路径是苹果菜单，「系统设置」，「隐私与安全性」，「锁定模式」，然后「打开」，最后一步是「打开并重新启动」。据苹果介绍，锁定模式会：

• 阻止大多数消息附件，某些图像、视频和音频除外；
• 关闭一些复杂的网页技术，因此某些网站加载更慢或无法正常显示；
• 阻止过去 30 天内未联系过你的人打来的 FaceTime 通话，并阻止 Apple 服务的邀请；
• 从共享的照片中去除位置信息；
• 要求 Mac 先解锁才能连接有线配件；
• 阻止 Mac 自动加入非安全的 Wi-Fi 网络；
• 阻止安装配置描述文件。

两点坦率的说明。第一，苹果没有说锁定模式是否能挡住这个具体的漏洞利用，所以我们不能声称它能。第二，锁定模式是缩小攻击面，而不是更新的替代品。高风险人群应当两者都做：先安装 26.7.1 或 15.8.1，然后再考虑锁定模式。如果你开启后发现限制太多，同一个面板可以将其关闭，同样需要再重启一次。

常见问题排查

软件更新中没有出现该更新

症状：「系统设置」显示「你的 Mac 已是最新」，或只显示 macOS 27，或显示一个较旧的版本号。

原因：软件更新可能显示的是缓存的扫描结果，自动检查可能被关闭，或者某个受管的延迟策略正在扣留该版本。不受最新 macOS 支持的 Mac 永远看不到它，而 Sonoma 及更旧的 Mac 完全不会看到 26.7.1 或 15.8.1，因为这些更新并不适用于它们。

解决办法：

1. 在「关于本机」中确认你的版本。Sonoma Mac 没有补丁。
2. 重启，然后重新打开「软件更新」。
3. 强制进行一次真正的扫描并列出结果：

sudo softwareupdate --background --force
softwareupdate --list

4. 对于受管 Mac，请询问你的管理员是否适用了更新延迟。

如果仍然无效：sudo softwareupdate --clear-catalog 会重置缓存的目录，这没有副作用，但很少是真正的原因。我们的更新不显示问题指南会逐一排查其余原因。

Mac 提供了 macOS 27，而我只想要安全更新

症状：你点错了按钮，开始了 12 GB 的下载，或者「软件更新」只显示一个「升级」按钮。

解决办法：在「软件更新」面板中取消下载，并找到名称为「macOS Tahoe 26.7.1」或「macOS Sequoia 15.8.1」的更新。如果屏幕上没有它，softwareupdate --list 会显示所有项目，而使用你复制的标签执行 sudo softwareupdate --install 就只会安装那一个。请避免点信息按钮，据 Daring Fireball 所述，它可能呈现预先勾选的、具有误导性的选项。

下载或安装失败或卡住

症状：出现错误，进度条停止，或者更新在重启后退出。

原因：常见的元凶是可用磁盘空间不足、网络连接中断、干扰更新的第三方安全或 VPN 工具，或者是过期的下载。

解决办法：

1. 至少释放 20 GB。小版本更新会先解压文件再应用，而上面的目录显示 26.7.1 的下载量约为 3.7 GiB。
2. 重新连接网络，关闭 VPN，然后再试一次。
3. 在「软件更新」中删除未完成的下载，然后重新下载。
4. 对于便携式 Mac，请接上充电器并保持盖子打开。
5. 在我们的错误代码工具中查询确切的代码。

如果仍然无效：请留意失败重启后 Mac 的表现。能够正常启动的 Mac 只是没能应用更新，重试是安全的。无法启动、反复循环或显示黑屏的 Mac，则需要参考我们的更新后 Mac 无法启动指南中的恢复步骤。

更新后出了问题

症状：安装 26.7.1 或 15.8.1 后，某个 App、VPN 或安全工具行为异常。

原因：小版本更新会改动系统库，而 CoreGraphics 被许多 App 共用。苹果只列出了一项改动，所以出问题的可能性不大，但并非不可能。

解决办法：重启一次，把受影响的 App 更新到最新版本，并查看开发者的支持页面。如果必须回退，请从更新前制作的 Time Machine 备份恢复，但要慎重权衡：你将回到一台带有已知被利用漏洞的 Mac。

Mac 停在 Sonoma，无法再往前

症状：软件更新没有显示任何新内容，而且这台 Mac 是 2018 或 2019 款 MacBook Air。

原因：这些机型能运行的最新 macOS 是 Sonoma，而苹果在 9 月 28 日没有为 Sonoma 发布任何内容。

解决办法：请阅读我们 Sonoma 指南中关于被困 Mac 的部分。在更换 Mac 之前，避免打开意外的附件，保持浏览器为最新版本，并考虑仅将其用于低风险任务。

常见问答

如果我已经在运行 macOS 27，还需要 macOS 26.7.1 吗？

不需要。苹果列出的 27.0.1 没有已发布的 CVE 条目，两条安全条目针对的是 Tahoe 和 Sequoia。解读苹果清单的评论者称 Golden Gate 似乎不受影响。你仍然可能想要 27.0.1 的缺陷修复，包括 Platform SSO 锁定屏幕修复，但它不是紧急的安全更新。

CVE-2026-86950 在 Mac 上被利用了吗？

苹果的措辞是，该问题可能已在针对特定目标个人的极其复杂的攻击中，于 iOS 27 之前的 iOS 版本上被利用。它没有说 Mac 遭到攻击。同一缺陷存在于 macOS Tahoe 和 Sequoia 中，所以苹果也修复了它们。CISA 将该 CVE 列为正在被积极利用，使用的标签是 Apple Multiple Products。

我能安装 26.7.1 而不升级到 macOS 27 吗？

可以。在「系统设置」，「通用」，「软件更新」中，选择 macOS Tahoe 26.7.1 条目旁的「立即更新」按钮，而不是 macOS 27 的「升级」按钮。在终端中，先运行 softwareupdate --list，然后按名称安装 26.7.1 的标签。请避免使用 --recommended，因为在我们的目录列表中 macOS 27.0.1 也被标记为推荐。

macOS 27.0.1 正确的构建号是什么？

我们找到的是 26A434。苹果的更新目录、Howard Oakley、Mr. Macintosh 和 iClarified 给出的都是这个数字，而 9to5Mac 印的是 26A5434，看起来是个笔误。请先确认版本号 27.0.1，构建号仅用作核对。在终端中运行 sw_vers 即可查看你 Mac 上的这两个值。

我的 Mac 运行 Sonoma。有修复吗？

截至 9 月 30 日，苹果方面没有。苹果安全页面上最新的 Sonoma 版本是 8 月 6 日的 14.8.9，而苹果的 Tahoe 和 Sequoia 页面没有列出 Sonoma。如果你的 Mac 能运行 Sequoia 或更新版本，请升级。如果它是 2018 或 2019 款 MacBook Air，请计划更换，并减少有风险的使用。

我应该因为这件事开启锁定模式吗？

只有当你面临真实的定向攻击风险时才需要，例如记者、活动人士，或面对资源雄厚对手的人。苹果为这一小部分人设计了锁定模式，它会限制消息、网页功能和配件。对其他所有人来说，及时安装更新是更好的选择。锁定模式位于「系统设置」，「隐私与安全性」，需要重启。

更新有多大，要花多长时间？

大小随你的起始版本而异。我们的 Tahoe 26.5.2 目录列表显示 26.7.1 约为 3.7 GiB，而 Mr. Macintosh 测得从 27.0 到 27.0.1 的增量约为 3.31 GB。请预留一次下载加一次重启，在网速慢或较旧的 Mac 上，预计需要半小时到稍长的时间。

结论

实用的总结只需几句话。如果你的 Mac 运行 Tahoe 或 Sequoia，今天就安装 26.7.1 或 15.8.1，选择对应你自己 macOS 的更新，而不是 macOS 27 升级。如果你运行 macOS 27，在方便时安装 27.0.1；它修复了缺陷和一个 Platform SSO 问题，苹果没有为其列出 CVE。如果你运行 Sonoma，没有补丁，解决办法是升级到较新的 macOS，这正是我们 Sonoma 安全指南的主题。

「特定目标个人」描述的是谁遭到了攻击，而不是细节公开之后谁面临风险。对一个有文档记录、正被积极利用的漏洞，免费补丁值得当晚就装上。安装之前，先备份并确认你点的是哪个更新；之后用 sw_vers 验证版本。

如果你不确定自己的 Mac 能运行哪个 macOS，请查看我们的兼容性工具。

相关阅读：Sonoma 安全更新终止、macOS 27 未出现在软件更新中、更新后 Mac 无法启动、macOS 27 中的 MDM 软件更新变化