一份简历 PDF 当场打穿最新 iPhone，赖在 iOS 26 不升级的理由还剩几个

10月16号，巴黎一场叫 Hexacon 的安全大会上，安全团队 Calif.io 上台做了段现场演示。第一幕在 Signal 里：点开一份叫 resume-ash-katchem-2026-v6.pdf 的简历附件，PDF 渲染出来的直接是这家团队的标志，代码已经在手机里跑起来了，桌面上还悄悄多了个应用图标。用户全程只做了一个动作——打开文件。

换到 iMessage 里更直观：研究员打开恶意 PDF，旁边的电脑弹出一个实时窗口，手机里的聊天记录被一条条外发到远程服务器，其中一条还带着句「With <3 from Calif」。

重头戏是后面两段。一台跑着 iOS 27.0.1 的 iPhone 18 Pro，被一个叫 Chollima 的工具当场完美越狱：重启、解锁、SSH 连进手机直接拿到 root，重启之后越狱状态还在，而设置里依然显示系统「已是最新」。上一回有人在 iOS 上做到「重启不掉越狱」，还是 iOS 9 那个年代的事，这次是在最新的手机加最新的系统上完成的。之前取证公司 Cellebrite 还公开断言 iOS 27 越不了狱，这话被当场推翻。

我把几段现场录像和文字实录对着看完了，细节都能对上。工具目前没公开，Calif 只留了句「会在适当的时候发布」。所以今晚不用恐慌，现在网上任何号称「iOS 27 越狱工具」「永久解激活锁」的东西，一律是把你当猎物的，一个都别碰。

但这场演示，把吵了一个月的那个问题从反面敲定了：系统，到底还升不升？

赖在老版本，换不来安全

我知道你在想什么：iOS 26 卡了一年，好不容易在 26.6 养老版安顿下来，你现在让我动？

卡顿是真的。桌面滑动掉帧、续航尿崩，iPhone 17 那批机器的差评现在还能搜出一堆。但「赖在老版本就没人打我」这条路，今年已经被堵死了。

3月，谷歌威胁情报小组披露了一条叫 Coruna 的 iOS 漏洞链：23 个漏洞藏在 WebKit 引擎里，Safari 打开一个被感染的网站，代码自动加载，入侵无感完成，银行账户、加密钱包全在射程内。重灾区是谁？升不了 iOS 17 的老机型——iPhone 6s、7、8、X 和初代 SE。苹果 2023 年底就在 iOS 17 里修掉了这些洞，但老机型被落在修复名单外，直到最近才开始补发 iOS 15.8.7、16.7.15 这类安全版本。这批老机型，恰恰大量在长辈和孩子手里。

4月初，工信部也专门发过提醒，点名有攻击者利用苹果产品漏洞远程植入木马，催用户尽快升级系统。当时流传的两个攻击工具名，一个打新系统，一个打老系统，两头都是拳。

再看 Hexacon 这场：PDF 攻击用的字体渲染漏洞（编号 CVE-2026-86950，藏在图形框架 CoreGraphics 里），苹果在 iOS 27 的安全说明里只列了两处归属这个团队的崩溃类修复，整条入侵链有没有被堵完、26 分支会不会得到同样的补丁，暂时没有公开答案。这才是留在老系统最被动的地方：你连哪些洞被补了都不知道。

对了，那个流传的「iOS 26 升级率低迷、超八成 iPhone 面临攻击风险」的说法，八成就找不到权威出处，我先打个问号。但一大批人停在老系统上是真的——iOS 27 正式版都推送一个月了，「到底要不要升」的提问还在一茬一茬往外冒。

分人群，对号入座

先说底层逻辑：这次演示证明了升到最新也挡不住所有攻击，27.0.1 自己就被打穿了。所以升一次级解决不了什么，关键是始终停在你机型能装的最新安全版本上。补丁只保护装了补丁的人。

还停在 iOS 18 或 iOS 26 前期版本的：别纠结了，升到 26 分支最新（26.6.2），机型合适直接上 27。你现在离补丁最远。

iPhone 8、X 这类升不了 iOS 17 的老机型：Coruna 点名的就是你。动作一样，装到旧分支还能装的最新版本（16.7.15 / 15.8.7）。这段值得转给家里用老 iPhone 的家人——攻击者挑的就是「不会升级」的人。

iPhone 13 到 17、正赖在 26.6.x 的：养老版可以留，但别把养老过成永不更新，26 分支还在出安全更新，该装装。想上 27 的话，这代口碑确实比 26 回暖，流畅度的正面反馈占多数；升级后头几天发热耗电，多半是系统在后台重建照片和消息索引，属于正常优化期，别急着下结论。

iPhone 11、12：反馈分裂。一份固定负载的续航对比里，iPhone 11 升 27 反而多撑 19 分钟，iPhone 16 却少了 23 分钟，同一版本没有统一结论。我的玩法：先确保 26 分支最新安全版装上，27 再看一个版本周期，没有新差评冒头再动。

经手敏感资料的（财务、法务、记者、高管）：立刻装最新系统，重要账号开双重认证，再把锁定模式打开——设置 → 隐私与安全性，拉到底就有。它牺牲一部分附件和链接的便利，换一个小得多的攻击面。普通人不必上纲上线，你们有必要。

不管升不升级，今晚先把这个开关打开

设置 → 通用 → 软件更新 → 自动更新，把「安全响应与系统文件」打开。这个开关只装安全补丁，不会把你偷偷带进大版本，对怕卡的人来说是零成本的安心。再记住一条：陌生人发来的 PDF，简历、发票、快递单，都别随手点开——这次攻击链的入口，就是一份看起来再正常不过的简历文件。

还有人喊「别升 iOS 27.2」，想把漏洞留在自己手机里等越狱工具，那是极客的娱乐项目，别跟着起哄。

至于 Chollima 越狱工具本身，等 Calif 真放出来再围观不迟。在那之前递给你安装包的，都按骗子处理。