如何界定WebKit修复公告与在野利用的边界

安全公告的措辞边界，常被读成它并没有承诺的意思。苹果在 Safari 26.5.2 与 26.6 的安全性说明里列出的是“问题已被修复”这一事实：受影响的 macOS Sonoma 与 Sequoia 用户存在缺陷，修补已下发。这与“该缺陷已被在野利用”是两条独立的信息链，前者由厂商公告承载，后者需要事件报告、检测线索一类的证据支撑，公告本身不提供这种背书。

把“可被恶意网页触发”外推为“已遭攻击”，是判断中最常见的越界。以公开漏洞库中的 CVE-2026-28979 为参照：描述是经由改进边界检查修复的越界访问，后果为处理恶意构造的网页内容可能导致进程意外崩溃，CVSS 3.1 基础评分 6.5，攻击向量为网络、需要用户交互、仅影响可用性。这组属性刻画的是触发条件与影响面，不是利用现状。评分中等、影响限于可用性，说明的是处置紧迫度的量级，而不是是否已有攻击者在使用。

还有一层容易混淆的边界在条目之间。这批更新里，WebKit 跨源信息泄露与 Canvas 释放后使用导致的崩溃是分列的不同条目，前者的风险在于同源隔离边界被突破，后者表现为 Safari 意外退出。把崩溃条目的评分或影响描述套到信息泄露条目前面，得出的优先级就是错的。逐条对应，是避免这类错位的基本功。

可复核的做法是让三条线索互相咬合：公告中的条目、漏洞库里的描述、终端上的实际版本号。核查顺序上，先在 Safari 的“关于 Safari”或设置中的通用页记录版本，再从“关于本机”确认系统是否属于 Sonoma 或 Sequoia，随后经软件更新安装，重启后重新读取版本号。看到“已安装”提示不算验证完成，版本号变化才算。批量维护时把更新前后的版本值按终端成清单留存，事后审计才有依据。

优先级取决于浏览行为而非机器配置：日常用 Safari 打开邮件链接和搜索结果，暴露面明显高于仅访问内网系统的终端。无法立即更新时改用非 WebKit 内核浏览器只是绕开暴露面，系统内的 WebKit 仍是旧版本，风险未被消除。更新后若出现扩展失效或页面渲染异常，先判定是否由本次更新引入，再决定调整配置还是替换扩展；系统级更新通常无法单独回退 Safari，真正的回滚手段是提前准备的系统备份或快照，而不是事后卸载。