苹果 Safari 26.5.2/26.6 安全更新涉及 WebKit 跨源泄露与崩溃，用户需核查版本

苹果已在官方支持页面公布 Safari 26.5.2 与 26.6 的安全性内容，修复项集中在 WebKit 渲染引擎，涉及跨源信息泄露和 Canvas 释放后使用导致的浏览器意外崩溃。公告列出的受影响系统包括 macOS Sonoma 与 macOS Sequoia，这意味着仍在使用这两个 macOS 版本、并通过 Safari 访问外部网页的用户处在需要核查版本的位置。对于负责终端维护的运维人员，这批更新属于应当纳入例行补丁窗口的条目，而不是可以等待下次大版本升级一并处理的内容。

公告确认了哪些问题

按苹果安全公告的分类方式，这批条目可以归为两类。第一类是 WebKit 的跨源信息泄露：在处理恶意构造的网页内容时，同源策略的隔离边界可能被突破，使本应互相隔离的数据被其他源读取。第二类是 WebKit Canvas 相关的释放后使用问题：对象释放后仍被引用，触发后表现为 Safari 意外退出或页面进程崩溃。

公开漏洞库中与这批更新对应的条目可以作为一个具体参照。以 CVE-2026-28979 为例，其描述为“通过改进边界检查修复的越界访问问题”，影响是处理恶意构造的网页内容可能导致进程意外崩溃，CVSS 3.1 基础评分为 6.5，属于中等 severity，攻击向量为网络、需要用户交互、仅影响可用性。这一条对应的是崩溃类问题，而非信息泄露类，两者在公告中是分开列出的不同条目，不应混为一谈。

需要明确的是，苹果公告披露的是“问题已被修复”这一事实，并未说明这些条目已被在野利用。把漏洞描述外推为“已遭攻击”缺乏依据，日志排查可以做，但不应据此下结论。

受影响范围与更新优先级

受影响的是 macOS Sonoma 与 macOS Sequoia 上的 Safari。由于 WebKit 是 Safari 的渲染核心，风险高低主要取决于浏览行为，而不是机器配置。

对无法立即更新的终端，改用非 WebKit 内核的浏览器可以作为临时缓解，但这不改变系统内 WebKit 仍为旧版本的事实，更新到位之前风险只是被绕开而非消除。

核查版本与验证更新生效

核查分两步，先看 Safari，再看系统。

1. 打开 Safari，在菜单栏选择“Safari”>“关于 Safari”，记录版本号。也可以在 Safari 设置的“通用”页查看。
2. 打开“系统设置”>“通用”>“关于本机”，确认 macOS 名称与版本号，核对是否属于 Sonoma 或 Sequoia。
3. 进入“系统设置”>“通用”>“软件更新”，安装可用更新。Safari 更新通常随系统更新下发，部分情况下也会单独出现在更新列表中。
4. 安装完成后重启，再重复第 1 步，确认版本号已变化。仅看到“已安装”提示不足以作为验证依据，应以实际版本号为准。

批量维护场景下，建议把上述版本号采集做成清单，按终端逐台记录更新前后的值，便于事后审计。若使用移动设备管理或软件分发工具，应确认策略确实覆盖了 Safari 所在系统更新通道，而不是只覆盖应用层。

兼容性问题与处置边界

更新后可能出现的问题主要集中在浏览器扩展、企业策略配置和依赖旧版 WebKit 行为的内部系统。处置上需要注意三点。

第一，先在小范围测试机验证再全量推送，尤其是依赖 Safari 扩展或自定义配置文件的终端。第二，系统级更新通常无法单独回退 Safari，回滚的实际手段是提前做好系统备份或快照，而不是事后卸载。第三，若更新后出现页面渲染异常或扩展失效，应先确认问题是否由本次更新引入，再决定是调整配置、替换扩展，还是暂时改用其他浏览器过渡，并把结论记录下来供后续同类终端参考。

对于安全从业者，这批条目的价值在于它提供了一个可复核的样本：公告条目、漏洞库描述与本地版本号三者可以互相对应。核查版本、验证生效、记录结果，比讨论漏洞利用细节更能直接降低实际暴露面。