苹果漏洞预警之后，为什么没有“吹哨人”？

standme

出品 | 虎嗅科技组
作者 | 梁卡尔
编辑 | 苗正卿
头图 | 视觉中国
苹果这次罕见高调提醒用户更新iOS。
4月15日，苹果公司通过服务号“Apple”发布了《更新iOS以保护你的iPhone免受网页攻击》，措辞十分直接：“如果你使用的是较旧版本的iOS，一旦点开恶意链接或访问被入侵的网站，iPhone上的数据就可能被盗”。
苹果格外强调，这次攻击针对的是“过时版本的iOS”，并建议用户尽快升级到最新版本，或启动锁定模式。
同一天，工业和信息化部网络安全威胁和漏洞信息共享平台（以下简称“NVDB平台”）也发布信息称，苹果公司已紧急提醒iPhone用户立即更新，以防范网页攻击，并建议用户升级系统、安装关键性安全更新，无法更新的设备可启用锁定模式。
时间向前看几天就会发现，这次提醒并非只是一次普通补丁通知。4月3日，NVDB平台就曾发布风险提示称，监测发现有攻击者利用针对终端漏洞利用工具实施网络攻击活动，影响范围包括运行iOS 13.0至17.2.1的iPhone、iPad等苹果设备。
攻击方式并不复杂，通过短信、邮件或网页投毒等方式，诱导用户使用Safari浏览器访问恶意代码的网页，再植入远程控制木马、窃取敏感信息，甚至获取设备最高权限。
截至发稿时，苹果公司并未明确此次更新是针对NVDB平台的风险提示。但把上述公开信息放在一起看，就可以形成一条完整的线索，平台预警，厂商修复，平台再扩散提醒。
比漏洞本身更反常的，是几乎没人愿意把这件事讲清楚。
围绕这次苹果漏洞事件，虎嗅咨询了多家头部安全公司和研究机构，结果很一致，都没有给出更进一步的解释。有人拒绝回应，有人只愿意给出极为模糊的表述，有人选择发报告，而不愿意正面回答这次风险到底意味着什么：影响面有多大，旧设备用户该如何判断风险，为什么风险会集中落在旧版iOS上，普通用户除了“赶紧更新”之外还有没有更现实的选择。
进一步追问就是，为什么在一场已经公开预警的安全事件中，最懂的人反而不说话了？
原因没那么简单。现在的漏洞披露，早就不是研究员发现了就能出来讲两句的事。谁先报、什么时候能说、能说到哪一步，很多时候都卡在流程里。
越接近处置链条的人，反而越难开口。因为一旦牵涉到漏洞上报、厂商修复和平台协同，公开发言的风险往往比收益大得多。
结果就是，真正知道细节的人不说，愿意说的人又只敢说最稳妥的话——“请立即更新系统”。
这话没错，但对很多用户来说，基本等于没解释。
对于一台还能顺畅运行最新系统的iPhone来说，“立即更新”只是一个动作；但对于大量停留在旧版本系统上的老设备用户来说，只能从忍受硬件不匹配下的糟糕体验和花一大笔预算购买一台新设备中作出选择。
苹果在公告里已经说得很明白，这次风险主要针对的是“过时版本的iOS”。NVDB平台披露的影响范围更为具体，覆盖iOS 13.0至17.2.1。换句话说，真正暴露在风险里的，很可能正是那批没有及时更新、也未必愿意更新的旧设备用户。
对不少老iPhone用户来说，系统升级从来不只是面对“要不要更安全”的问题，还有“会不会更卡、更耗电、更影响日常体验”的问题。甚至在早期区分运营商不同版本更新固件时，升级错误意味着用户还要更换手机号码才能使用，否则iPhone“秒变”iPod。
苹果的长期系统支持一直是卖点，但落到老设备上，用户感受到的常常是另一面，系统还能升级，体验却未必跟得上。
以前用户纠结的是卡不卡、电量是不是下得快，现在连安不安全都要一起算了。
苹果这次之所以反常，不在于它修了漏洞，而在于它罕见地把风险说得足够直白：恶意网页、数据被盗、旧版iOS、锁定模式。这些词叠在一起，已经说明问题不再停留于“理论上存在漏洞”，而是进入了需要公开提醒用户立即行动的阶段。
偏偏在这个时候，安全圈几乎没人愿意把这件事讲明白。
对用户来说，知道要更新，却不知道这次风险为什么主要落在旧版iOS；知道风险和网页攻击有关，却不知道自己是否属于高暴露人群；知道无法更新可以启用锁定模式，却不知道这意味着设备实际上已经接近安全风险边界。
这几年安全行业的变化很明显，处置流程越来越完整，面对公众时就越来越惜字如金。
这不只是某家公司不愿意说，而是整个行业的角色都变了。更准确地说，这是安全行业角色变化的结果。安全公司越成为厂商和监管体系中的协同节点，它就越难同时扮演一个面向公众的解释者。说多了有风险，说少了最安全，沉默反而成了最稳妥。
但问题是，行业选择沉默的成本，最后并不是行业自己承担，而是普通用户承担。
尤其是那些仍在使用旧设备、旧系统的人。他们收到的只是一个结果导向的通知：更新升级、打开锁定模式，或者前往门店寻求帮助。
他们很难知道，自己究竟是在面对一个普通漏洞，还是一个已经进入现实攻击链条的高危风险，也很难知道，继续停留在旧系统上的代价，或许已经从体验下降变为失去安全防护。
这套处置当然不能算错，但它也谈不上是成熟行业该有的沟通方式。
一场影响这么多用户的安全漏洞事件，公众不该只收到一句“请尽快更新”。他们还需要知道：风险到底有多大，谁最容易中招，继续拖着不升级要付出什么代价。
如果这些问题永远只能停留在“敏感”“不便回应”“以官方公告为准”，那安全行业再专业，也很难真正建立起公众信任。
因为保障安全从来不只是修补漏洞，也包括把风险说明白。
难怪有的手机行业分析师会说这对苹果来说可能不是坏事。他们可能未必会因此调高苹果接下来的出货量预期，但他们相信有的用户要买新手机了。

华语天空

苹果：快更新！安全圈：别问，问就是更新

standme

苹果这次把旧系统风险挑明，就像给用了五年的老电视突然说有漏电风险，不换新就得天天提心吊胆，行业这沉默劲儿真让人心寒

神隐之左手

过去安全圈乐于披露细节，如今却集体失语，从担忧技术不足到害怕信息不透明，用户焦虑指数飙升。

77898876

图解新闻：一图读懂

922b3eb6

我的iPhone6s还在战斗，这波更新提醒直接变催换机广告！库克这波在大气层🍎

温馨阁

锁定模式这个选项，其实就是自闭模式，关掉一堆联网功能，牺牲便利换安全。对旧手机用户来说，这可能是比变卡更难受的选择，等于手机半残了

酷狗e族

库克的最新催更术：安全补丁，内含换机催化剂

xuye004

为啥不每个版本都推一个补丁，非得逼大家更新版本

922b3eb6

人家都特别推出为老机子老系统更新的旧版本系统了，哪里来的逼你换机？这次动作说明这个安全问题确实很严重。