11 月 10 日，iOS 27.2.1 开始推送。更新说明只有一句“错误修复和安全更新”，但苹果安全公告的 Messages 一栏挂着两个 CVE。有的转述把它们并成了一句：远程攻击者不用邀请就能进群、收消息，还能读入群前的历史记录。 苹果的原话其实分得很开。知乎
CVE-2026-113961 说的是，远程攻击者可能加入 iMessage 群聊并接收群里的消息。 苹果把原因归为授权问题，处理方式是改进校验，而不是加密层的改动。Apple 支持
CVE-2026-113960 是另一件事：被拉进群的人，可能看到入群之前发过的消息。 苹果对后者的处理很干脆——删掉有问题的代码。两个洞都出在“谁有资格看”这一层，从公告看，不是 iMessage 的加密被攻破。两个 CVE 都记在匿名研究者名下，公告里也没有“已被在野利用”的说法，没交代攻击者需要什么前置条件。苹果官方公告
受影响的不止 iPhone。iPhone 11 及以后对应 27.2.1，iPad 共用同一份公告。 留在 iOS 26 的对应 26.7.3。 Mac 的 Golden Gate 27.2.1 也单列了这两条。 此外，Apple Watch Series 9 及以后和 Vision Pro 的更新里也能找到同样的 Messages 条目。Apple 支持苹果支持苹果官网
所以第一件事不是删聊天记录，而是打开“设置 > 通用 > 软件更新”，把所有会收 iMessage 的设备都更新。只更手机，同一个 Apple ID 下的 Mac 和 iPad 仍可能收到同一个群的消息。
第二件事和“拉人进群”有关。更新之前，尽量别往有敏感内容的旧群里加新成员；非要加，新建一个群更稳妥。这条对应的是 113960，更新后再拉人，风险会小一些。
如果暂时不能更新，可以在每台设备的“设置 > 信息”里关掉 iMessage，代价是用不了 iMessage，普通短信不受影响。对大多数人来说，装补丁的成本还是更低。
苹果的描述里没有用户点击或确认这一步。所以这次防范的重点不是“别乱点链接”，而是把系统更新装好，把收消息的设备都覆盖到。
