蘋果（Apple）在上週釋出 iOS 14.6 和 iPadOS 14.6 後，除了解決 iPhone降頻和加入7項新功能外，同時修補 38個安全漏洞，算是近期修正安全漏洞更新量最多的一次，從安全性修正中也發現，新型態攻擊已經可透過音訊或影像檔案竊取設備個資和任意執行惡意代碼，將會嚴重影響iPhone設備安全，建議尚未更新立即升級。
在 iPadOS 14.6 和 iOS 14.6 安全性更新頁面中，顯示總計高達38個漏洞在這次更新中被修補，也有5個常見的 Kernel 漏洞，以及 Core Services 漏洞、2個Heimdal 漏洞，都可透過製作惡意應用程式進行核心攻擊，來獲得系統管理者執行任意程式碼權限，也是當前 iOS 越獄常用的手段。
另外在 iOS 14.6 以下版本，也確定存在「照片、音訊格式漏洞」，黑客可以藉由惡意製作音訊檔案和影像檔案（包含ASTC格式），直接竊取使用者個資和執行任意代碼。
趨勢科技安全研究員 Mickey Jin 也發現，在 iOS 系統內存在惡意 USD 檔案可能會洩漏記憶體內容、執行任意程式碼問題。
安全研究員 xerub 更發現「惡意憑證」會導致至執行任意程式碼，建議網路不知名網站提供非法或不知名憑證請勿隨意下載安裝，安裝後都可能造成 iPhone 或 iPad 設備遭攻擊留下後門，讓攻擊者能隨意遠端入侵或發動攻擊。
除此之外，攻擊者也可以利用Mail方式製作惡意郵件訊息，造成非預期記憶體修改或應用程式當機，在備忘錄App內也出現使用者可以用鎖定畫面檢視受限制內容，也有CVMS漏洞可造成本機攻擊者直接提高權限，LaunchServices 惡意程式則是可打破iOS沙箱機制，造成非常嚴重安全性問題。
漏洞安全影響
根據沉浸式實驗室（Immersive Labs）的安全研究員 Sean Wright 表示，這次 iOS 14.6 其中 WebKit 兩個遠端代碼執行漏洞可以搭配其他漏洞共同使用，將會造成非常嚴重的安全問題。
Wright 嚴重警告 CVE-2021-30737 憑證漏洞，可以利用憑證來執行任意代碼，將會造成 iOS 嚴重的安全疑慮，攻擊者可以直接透過 WebKit 漏洞搭配 CVMS、LaunchServices 等攻擊手段進行一連串攻擊，就能夠竊取用戶設備個資和遠端執行任意代碼。
目前蘋果尚未對外公開說明，漏洞是否已經遭使用，依舊是保持不會揭露、討論或確認安全性問題為原則，但也有消息指出，當前 iOS 14.6 修復的安全尚未被黑客利用，未來就不確定。
《瘋先生》認為，只要安全研究員能找到的漏洞，有可能會發生後續漏洞代碼遭到公開，或是被其餘開發者或黑客找到類似漏洞或撞洞（發現相同漏洞）。
為了安全應該立即更新 iOS 14.6
也許 iOS 14.6 被少數國外用戶認為有「電池異常」問題，不過瘋先生對此問題進行分析，比對本站iOS 14.6 災情統計數據，多數用戶認為更新後無任何感覺或系統變更順，若有問題還是建議檢查電池健康度和嘗試重刷iOS設備，多數都能改善 OTA升級過程造成錯誤。
在 iOS 14.6 對於 iPhone 用戶設備算是重大安全更新，也建議還在停留 iOS 14.6 以下版本無越獄用戶，立即更新至 iOS 14.6 版本，才能夠確保 iPhone 設備安全。
想知道詳細 iOS 14.6 和 iPadOS 14.6 安全更新細節，可以透過蘋果安全性內容了解。
喜歡這篇文章教學，後續想了解更多Apple資訊、iPhone、Mac、3C隱藏技巧，歡迎追蹤 瘋先生FB粉絲團、瘋先生LINE@、訂閱瘋先生Google新聞、Telegram、Instagram以及 訂閱YouTube頻道，將會有更多非常實用的技巧教學分享給大家。