今天上午，很多Mac的设置里安静地多了一个更新：macOS Golden Gate 27.2.1（版本号26B131）。它不带任何新功能，是个纯安全补丁——但这一次，真不建议你再当"等等党"。微博微博
最大的雷，是一场持续了三周的"假证书"事件。
几周前，Mozilla调查发现：印度数字认证机构eMudhra旗下8个中间证书颁发机构的私钥泄露了。更要命的是，这些私钥位数不足256位，很容易被算出来。这意味着拿到密钥的人，可以给任何网站签发一张"看起来完全合法"的证书——你访问钓鱼网站，浏览器照样给你绿灯亮锁，HTTPS的最后一道心理防线当场失效。微博微博
苹果的应对其实很快：10月19日起就通过自动证书更新，在Safari、邮件和用苹果安全框架的App里屏蔽了这些被污染的证书。这一步不用装系统更新，大多数人已经受保护了。微博微博
但有个漏洞，Safari替你挡不住。
curl、git这些命令行工具当时仍然会照常接受被盗证书。换句话说，图形界面里一切安全，终端里你可能正在跟"假GitHub"“假银行API"握手。开发者、爱折腾脚本的人，恰恰是离这个攻击面最近的一群人。此前苹果只给了管理员一份手动方案：自己去`/etc/ssl/cert.pem`里把受影响根证书删掉——承诺"未来的更新里会修”。微博微博
今天，这个承诺兑现了：27.2.1让系统层面的命令行工具不再接受这些被污染证书，并从/etc/ssl/cert.pem中移除了5个根CA证书（包括3个连当初手动方案都没覆盖到的eMudhra证书）。这个修复原本排在12月的27.3里，现在提前——你不用等到12月才安全。微博微博
顺手修掉的还不止这一件事。iMessage的漏洞可能让远程攻击者悄悄加入群聊、接收群内消息，甚至看到入群前发送的记录；蓝牙和AirPlay更是重灾区——恶意蓝牙设备可以在毫无用户交互的情况下完成配对，附近攻击者还能破坏进程内存、绕过AirPlay配对码的速率限制，这批漏洞里有4个是苹果内部自己发现的。这次苹果是把iOS 27.2.1、iPadOS 27.2.1一起推的，按爱思助手统计，一共封堵了9个安全漏洞。微博微博
苹果并未称这些漏洞已被实际利用，但漏洞细节已经公开，没打的补丁就是敞着的门。微博
卡在老系统的人也没被遗忘：今天苹果同步给macOS 26和15推送了Tahoe 26.7.3与Sequoia 15.8.3，同样包含证书封堵。还在这两代的Mac，直接去"系统设置→通用→软件更新"点一下就行。微博
一个诚实的提醒：部分App自带独立的根证书库，不经过苹果这套信任链，27.2.1管不到它们——拿不准的话，需要去问这些App自己的开发者。微博
最后一个小彩蛋：27.3测试版里，Mac的"密码"App将能自选自动锁定时间——1分钟、3分钟或10分钟无操作，或者干脆跟随系统锁定，不再是原来写死的3分钟。常担心离开电脑密码页面不锁的，可以期待一下12月。微博
