🕷️
SetupAI
🏠較早收集於 31m

Apple 修復 Safari 26.5 中 20 個 WebKit 漏洞

PostLinkedIn
🏠閱讀原文： IT之家
#security#browser-engine#webrtcsafariapplesafariwebkit

💡WebKit 關鍵安全更新；對於開發基於網頁 AI 工具的開發者至關重要。

⚡ 30-Second TL;DR

有什麼變化

修復了 CVE-2026-28962，該漏洞可繞過內容安全策略。

為什麼重要

這些安全修補程式對於依賴 WebKit 環境進行安全網頁互動與即時通訊的開發者與使用者至關重要。

下一步行動

如果您正在測試基於網頁的 AI 介面或 WebRTC 應用程式，請立即將環境更新至 Safari 26.5。

誰應關注：Developers & AI Engineers

關鍵要點

  • •修復了 CVE-2026-28962，該漏洞可繞過內容安全策略。
  • •解決了多個導致瀏覽器崩潰的記憶體問題。
  • •解決了與 WebRTC 相關的處理程序不穩定問題。

🧠 深度解析

Web-grounded analysis with 27 cited sources.

🔑 增強重點摘要

  • •Safari 26.5 的發布是 Apple 針對其多個作業系統（包括 iOS 26.5、iPadOS 26.5、macOS 26.5、tvOS 26.5 和 visionOS 26.5）進行的廣泛協調安全更新的一部分，這些更新均於 2026 年 5 月 13 日至 14 日左右發布。
  • •Safari 26.5 中修復的 20 個 WebKit 漏洞涵蓋了可能導致意外程序崩潰、敏感使用者資訊洩露以及安全繞過的各種問題，主要影響 macOS Sonoma 和 macOS Sequoia。
  • •其中一個關鍵漏洞 CVE-2026-28962 專門解決了記憶體處理問題，該問題可能導致 Safari 在處理惡意製作的網頁內容時意外崩潰。
  • •Apple 的安全更新經常包含對「use-after-free」（釋放後使用）問題的修復，這是一種常見的記憶體損壞漏洞，可能導致任意程式碼執行或瀏覽器崩潰。
  • •Apple 採用「背景安全改進」機制來部署關鍵補丁，這使得針對 WebKit 漏洞等高度嚴重缺陷的修復能夠快速部署，而無需進行完整的作業系統更新或重新啟動。
📊 競品分析▸ Show
功能/指標Apple SafariGoogle ChromeMozilla FirefoxMicrosoft Edge
瀏覽器引擎WebKitBlink (基於 Chromium)GeckoBlink (基於 Chromium)
安全更新頻率通常與主要作業系統更新綁定，但關鍵 WebKit 漏洞可透過「背景安全改進」快速修補。每兩週發布一次，更新頻繁。更新頻率有所改善，但歷史上慢於 Chrome。與 Chrome 類似，受益於 Chromium 的更新週期。
沙盒/站點隔離採用多程序架構，將 UI、網頁內容和網路程序分離以增強隔離。具有強大的站點隔離功能，每個網站都在獨立的沙盒程序中運行。正在努力實施沙盒，歷史上存在架構限制。受益於 Chromium 的沙盒和站點隔離技術。
隱私功能強調智慧追蹤預防 (Intelligent Tracking Prevention) 等隱私功能。具有增強型安全瀏覽模式，提供即時網路釣魚保護。長期以來一直是使用者隱私的倡導者，預設啟用增強型追蹤保護。整合 Microsoft SmartScreen 進行網路釣魚和惡意軟體檢測。
漏洞修復時間歷史上，WebKit 漏洞的修復時間可能較長，但關鍵問題會迅速處理。通常能最快修補零日漏洞。歷史上修補速度慢於 Chrome。受益於 Chromium 的快速修補。
市場份額 (2025)全球約 15-20%，北美地區因 iPhone 普及率較高而佔有 32.55% 的份額。全球約 65-67%。全球約 2.57%。全球約 5.35%。

🛠️ 技術深入

  • WebKit 是一個開源網頁瀏覽器引擎，主要由 C++ 編寫，包含 C 和組合語言，特別是在 JavaScriptCore 中，並使用 Objective-C 與 Cocoa 平台整合。
  • 其主要組件包括：bmalloc（WebKit 的 malloc 實作，提供 IsoHeap 安全功能，將不同類型的物件隔離到獨立的記憶體頁面，以防止釋放後使用 (use-after-free) 漏洞引起的類型混淆攻擊）、WTF（WebKit 的模板庫）、JavaScriptCore（WebKit 的 JavaScript 引擎，簡稱 JSC，負責解析 JavaScript 並執行位元碼）、以及 WebCore（最大的組件，負責 HTML/CSS 解析、佈局和渲染）。
  • WebKit 採用多程序架構，包括 UI 程序（應用程序本身，如 Safari）、WebContent 程序（每個瀏覽器分頁通常有一個獨立的程序，用於載入和運行網站程式碼，以保持響應性並隔離網站）、以及 Networking 程序（處理網路請求和儲存管理）。
  • 內容安全策略 (CSP) 是一種瀏覽器安全機制，透過定義允許載入和執行資源（如 JavaScript、CSS、圖片）的來源來防禦內容注入攻擊（特別是跨站腳本攻擊 XSS）。
  • CSP 繞過技術通常利用瀏覽器對 about:blank URL 的處理方式、快取操縱、JSONP 端點利用、或框架特定漏洞（如 AngularJS 舊版本）等。
  • WebRTC (Web Real-Time Communication) 旨在實現瀏覽器內的即時點對點通訊，並強制實施加密。資料通道使用 DTLS (Datagram Transport Layer Security) 進行加密，媒體流使用 SRTP (Secure Real-time Transport Protocol) 進行加密。
  • WebRTC 漏洞可能源於信令伺服器 (signaling server) 的弱點、IP 位址洩露（例如透過 ICE 候選者收集），或跨站腳本 (XSS) 攻擊，儘管媒體本身是加密的。

🔮 前景展望AI analysis grounded in cited sources

Apple 將繼續優先對 WebKit 漏洞進行快速安全修補。
頻繁且跨多個作業系統版本協調的更新，包括使用「背景安全改進」，表明 Apple 致力於快速解決關鍵缺陷以保護其廣大使用者群。
WebKit 和 WebRTC 的複雜性將確保新漏洞的持續出現。
作為一個龐大、開源且具有許多組件和整合（如 WebRTC）的引擎，WebKit 本身就提供了廣泛的攻擊面，使其難以消除所有潛在缺陷。
瀏覽器安全將越來越依賴於修補之外的多層次防禦，例如先進的沙盒和記憶體管理技術。
技術細節突出了 IsoHeap 和多程序架構等功能，這表明正在轉向架構防禦，以減輕漏洞的影響，而不僅僅是修復它們。

⏳ 時間線

2003-01
Safari 首次發布。
2010-06
Safari 5 推出閱讀模式、擴展和開發者工具。
2017-09
Safari 11 引入智慧追蹤預防 (Intelligent Tracking Prevention)。
2023-05
Apple 修補了三個被積極利用的 WebKit 零日漏洞 (CVE-2023-32409, CVE-2023-28204, CVE-2023-32373)。
2026-03
Apple 透過「背景安全改進」發布關鍵安全補丁，修復了 WebKit 漏洞 CVE-2026-20643，該漏洞允許繞過同源策略。
2026-05
Apple 發布 Safari 26.5，修復了 20 個 WebKit 漏洞，作為 iOS 26.5 等廣泛系統更新的一部分。
🏠閱讀原文： IT之家
📰

AI 週報

閱讀本週精選 AI 大事摘要 →

👉相關動態

同主題

探索 #security

同產品

更多關於 safari

同來源

最新來自 IT之家

小米澎程 N90 Max 技術設計深度解析

小米澎程 N90 Max 技術設計深度解析

IT之家•Aug 2
傳前五大手機廠商明年將全面跟進 1:1 前置鏡頭

傳前五大手機廠商明年將全面跟進 1:1 前置鏡頭

IT之家•Aug 2
OpenAI 封禁利用 ChatGPT 進行詐騙的柬埔寨網絡

OpenAI 封禁利用 ChatGPT 進行詐騙的柬埔寨網絡

IT之家•Aug 1
Mercedes-Benz CEO：實體按鍵將回歸車內設計

Mercedes-Benz CEO：實體按鍵將回歸車內設計

IT之家•Aug 1

AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： IT之家 ↗