科技巨頭蘋果公司於8月20日發布安全更新，修補其ImageIO框架中的零日漏洞CVE-2025-43300，此漏洞已被用於「極度精密」的針對性攻擊，可能涉及間諜軟體或國家級駭客行動。蘋果表示，此漏洞影響iOS、iPadOS及macOS系統，用戶處理惡意影像檔時可能導致記憶體損壞。資安專家警告，此類攻擊常瞄準特定目標，如記者或異議人士，台灣用戶應盡速更新裝置以防範風險。

 

 

根據蘋果的安全公告，CVE-2025-43300為越界寫入（out-of-bounds write）問題，攻擊者可透過惡意影像檔引發記憶體腐敗，從而執行任意程式碼或竊取資料。蘋果強調，已知此漏洞「可能已被用於針對特定目標個體的極度精密攻擊」。公司內部員工發現此漏洞，並在最新作業系統版本中透過強化邊界檢查（bounds checking）予以修補。受影響裝置包括iPhone、iPad及Mac，用戶可透過設定中的軟體更新功能安裝修補程式。

 

 

蘋果一貫不透露漏洞細節或攻擊活動的具體資訊，僅以「極度精密」描述攻擊，業界推測這是為了暗示國家級威脅或商業間諜軟體的參與。今年以來，蘋果已多次使用類似術語披露零日漏洞，凸顯資安威脅的嚴峻性。例如，2月時，蘋果修補CVE-2025-24200，此漏洞允許未經授權使用者繞過USB限制模式，同樣被描述為「極度精密」攻擊，並由多倫多大學公民實驗室（Citizen Lab）的Bill Marczak發現。公民實驗室專注研究商業間諜軟體，顯示此類漏洞常與監控工具有關。

 

 

4月，蘋果又修補另一零日漏洞CVE-2025-43200，此邏輯問題源於處理透過iCloud連結分享的惡意影像或影片。6月，公民實驗室揭露，此漏洞已被商業間諜軟體供應商Paragon Solutions用於零點擊（zero-click）iOS攻擊，目標為兩名記者。零點擊攻擊無需受害者互動，即可遠端植入間諜軟體，竊聽通訊或追蹤位置。這類攻擊高度隱蔽，常被用於針對異議人士或媒體工作者。

 

 

ImageIO框架過去也曾是駭客目標。2023年，公民實驗室發現NSO Group—以色列知名間諜軟體開發商—利用CVE-2023-41064堆疊緩衝區溢位漏洞，攻擊華盛頓特區一公民社會組織。此漏洞同樣位於ImageIO，允許攻擊者透過惡意影像注入程式碼。NSO Group的Pegasus間諜軟體曾多次被指控用於全球監控行動，包括針對台灣異議人士的疑似攻擊。資安媒體Dark Reading資深新聞總監Rob Wright在報導中指出，這些事件顯示零日漏洞已成間諜戰常見武器。

 

 

專家分析，今年蘋果披露的零日漏洞數量激增，反映生成式AI及雲端整合時代的資安挑戰。Dark Reading報導提及，這些漏洞可能與國家級駭客或商業間諜有關，目標通常為「特定個體」，如政治人物、記者或企業高管。蘋果的修補速度雖快，但攻擊者往往在漏洞曝光前已活用數月。公民實驗室研究顯示，商業間諜軟體市場蓬勃，供應商如NSO、Paragon常將工具售予政府，導致全球人權隱憂。

 

 

在台灣，蘋果裝置普及率高，此漏洞引發本土資安單位關注。行政院國家資通安全會報表示，將密切監測類似威脅，並呼籲用戶更新至最新版本iOS 18.7、iPadOS 18.7及macOS Sonoma 14.7。台灣資安專家指出，台灣作為地緣政治敏感地區，常成國家級攻擊目標。過去曾有報導指中國駭客利用iOS漏洞針對台灣官員或媒體。趨勢科技台灣區總經理洪偉淦受訪時說：「零日漏洞攻擊日益精密，企業及個人須強化多層防護，如啟用自動更新、避免開啟不明來源檔案。」

 

 

此外，此事件與近期資安趨勢呼應。黑帽大會2025上，研究員揭露AI代理零點擊漏洞，顯示科技整合放大攻擊面。蘋果的ImageIO漏洞雖非AI相關，但同樣暴露處理媒體檔的弱點。國際組織如電子前哨基金會（EFF）呼籲，政府應規範間諜軟體出口，防止濫用。蘋果回應表示，將持續投資資安研究，保護用戶隱私。

 

 

用戶該如何防範？首先，檢查裝置是否更新：進入設定>一般>軟體更新。其次，避免下載不明影像檔，尤其來自未知訊息或連結。啟用鎖定模式（Lockdown Mode）可防範精密攻擊，雖犧牲部分功能，但適合高風險用戶。企業則應實施裝置管理政策，確保員工裝置及時修補。

 

 

 

此漏洞修補凸顯資安戰的持續性。隨著5G及IoT普及，零日攻擊將更頻繁。蘋果雖領先業界，但用戶主動防護不可或缺。台灣政府可借鏡，強化本土資安法規，保護數位權利。展望未來，AI輔助漏洞發現或成趨勢，但攻防平衡仍需全球合作。