苹果昨晚（11 月 9 日，美国时间周一）悄悄推了 iOS 27.2.1，更新说明只有一句话：修复 Bug 和安全问题，没有任何新功能。平时这种“.1”小补丁，我都是随缘升，但这次我劝你别拖——苹果安全页上列的 9 个漏洞里，有两个是真吓人。
iMessage 群聊：陌生人不用邀请就能进来偷看
最严重的是 iMessage 的两个漏洞。第一个，远程攻击者不用被任何人邀请，就能加入一个 iMessage 群聊，并且收到群里的消息；第二个，新进群的人能看到进群之前发的消息。翻译成人话就是：你家里的家庭群、工作群，理论上可能有个你不认识的人坐在里面一声不吭地看记录，而群里没人知道他是怎么进来的。
先说一句冷静的话：苹果没有说这些漏洞已经被真实攻击利用过，别自己吓自己。但补丁既然已经出了，道理也很简单——修复说明是公开的，攻击者照着说明逆向出利用方法只是时间问题。更何况群聊这东西，平时谁也不会天天检查成员列表，等发现的时候，消息早看完了。
经常用 iMessage 的美区账号用户尤其值得注意，国内很多果粉的备用机、主力机都在用 iMessage 收验证码、聊工作，群聊里躺着的可能就是你的行程、报价和家庭信息。
蓝牙：陌生设备不用你确认就能配对
第二组漏洞在蓝牙上，同样不省心。恶意蓝牙设备可以在你完全不知情、不用你点任何确认的情况下，和你的 iPhone 完成配对；攻击者在蓝牙信号范围内，还能绕过配对码的尝试次数限制，相当于把“输错几次就锁死”这道防线拆了。另外还有一个蓝牙漏洞能让攻击者搞坏进程内存。
这个场景其实比 iMessage 更贴近生活：地铁、商场、机场，蓝牙开着的人一抓一大把。我的建议就两条：第一，今晚就升 iOS 27.2.1；第二，平时不用蓝牙耳机、手表的时候，随手把蓝牙关了，少一个入口就少一分风险。
AirPlay 也中了招：同一网络里的攻击者能绕过 AirPlay 配对码的尝试次数限制。家里、办公室投屏多的朋友，同样建议尽快更新。
谁升哪个版本，别升错了
这次苹果罕见地同时维护了三个系统分支，各管各的机型，升之前先对一下号：
iPhone 11 及以后的机型，升 iOS 27.2.1，9 个漏洞全修；还停留在 iOS 26 的机型，升 iOS 26.7.3，同样修了 iMessage 和蓝牙的问题；iPhone XS、XS Max、XR 这些老机型，升 iOS 18.7.12，蓝牙和 AirPlay 的漏洞一样修，但 iMessage 那两个不在这次的修复列表里。
升级方法还是老样子：设置 > 通用 > 软件更新，Wi-Fi 环境下、插着电升，更新前先备份一次，iCloud 或者电脑都行。从 iOS 27.2 升上来就是个小补丁，下载不大，十几分钟就能完事。
别把它和 iOS 27.3 Beta 搞混了
顺便提醒一句，别把这个更新和 iOS 27.3 Beta搞混。27.3 才是带国行 Apple 智能的大版本，12 月才正式推送，我之前已经实测过它的 Beta 版，Bug 还不少，不建议普通用户现在尝鲜。这次的 27.2.1 和它完全是两码事：一个是救火的安全补丁，一个是年底的大版本，一个今晚就能升，一个还要再等一个月。
至于 10 月底的 iOS 27.2 正式版，当时修了 160 多个漏洞，这次的 27.2.1 属于查漏补缺。我的判断是：27.2 该升的早就升了，27.2.1 更没有理由拖着，安全补丁这种东西，永远是越早越好。
如果你还没有一个美区苹果账号，点击购买一个现成的独立美区账号啊……
