14.2% 的 iPhone 陷入危机:iOS 18 ＂DarkSword＂ 漏洞利用链深度拆解
在移动安全领域，"全链漏洞"（Full-Chain Exploit）始终被视为网络武器库中的皇冠。近日，安全届披露了一个代号为"DarkSword"的新型 iOS 漏洞利用链。该漏洞直到2026 年 3 月 18 日才有安全组织对外披露。披露内容：报告详细拆解了其利用的 6 个关键漏洞（如 CVE-2025-31277 和 CVE-2026-20700）。修复情况：苹果在收到报告后，已于 2026 年初开始陆续推送补丁，并在最新的iOS 26.3版本中彻底封堵了已知的所有关联路径。这一漏洞最令人惊悚之处在于其极高的兼容性与工程化程度：它通过 6 个不同维度的漏洞组合，实现了从 Safari 浏览器点击到内核权限获取的“一键式（1-Click）”突破。据统计，全球约有 2.2 亿部运行 iOS 18.4 至 18.6.2 的设备仍处于该威胁的阴影之下。一、 隐秘的入口：从 JavaScriptCore 开始的远程执行
DarkSword 的攻击起点始于一个看似无害的网页跳转。攻击者通过劫持合法网站（如某些政府域名或社交媒体伪装页），诱导用户访问。CVE-2025-31277 (JavaScriptCore 内存破坏)： 攻击的第一步利用了 Safari 浏览器渲染引擎 WebKit 中的 JavaScriptCore 漏洞。通过精心构造的 JS 代码，攻击者绕过了现代浏览器的内存保护机制，在 WebContent 进程中获得了初始代码执行（RCE）权限。CVE-2026-20700 (dyld PAC 绕过)： 为了在 Apple 严密的指针身份验证（PAC）机制下生存，DarkSword 利用了动态链接器 dyld 中的一个逻辑漏洞。这一步至关重要，它允许攻击者篡改函数指针而不触发硬件级报错，为后续的沙箱逃逸奠定了基础。二、 沙箱逃逸：GPU 进程的“背后一刀”
即便获得了 Web 进程控制权，攻击者依然被困在 iOS 的应用沙箱中，无法接触用户数据。DarkSword 选择了通过 GPU 渲染路径进行横向移动。CVE-2025-14174 (ANGLE 越界写入)： 利用 WebGPU 或 ANGLE 图形层中的缓冲区溢出漏洞，攻击者成功从受限的 WebContent 进程跨越到权限更高的GPU 进程。注入系统服务： 一旦进入 GPU 进程，利用链会进一步寻找系统守护进程的通信漏洞。研究发现，DarkSword 能够将其恶意逻辑注入到 mediaplaybackd（媒体播放服务）中，从而摆脱了浏览器沙箱的束缚。三、 内核登顶：获取“至高无上”的权限
真正的杀招发生在内核层。DarkSword 利用了 XNU 内核在内存管理上的设计疏忽。CVE-2025-43510 (内核写时复制 COW 漏洞)： 这是一个精巧的逻辑漏洞，通过触发内存页的写时复制异常，攻击者可以在非特权状态下获得对内核内存的任意读/写原语。CVE-2025-43520 (内核提权)： 结合前述读写原语，攻击者直接篡改内核对象，将当前进程的权限提升至 root（最高管理员）。此时，整部 iPhone 已经完全处于攻击者的控制之下。四、 战利品：数据“大扫除”式外泄
DarkSword 并非传统的持久化后门，而更像是一个**“击后即走”的掠夺者**。在获得权限后的几秒钟内，它会迅速启动名为 GHOSTKNIFE 或 GHOSTSABER 的载荷：全维度扫描：从 iCloud 文件、iMessage 聊天记录到通讯录、照片元数据，甚至包括 Wi-Fi 密码和健康数据。加密货币定点清除：该利用链会专门扫描手机中的 Coinbase、MetaMask、Binance 等钱包文件。无痕清理：数据上传至 C2 服务器后，DarkSword 会立即擦除其在内存和临时目录中的所有痕迹，不留任何持久化特征，让溯源变得极其困难。五、 谁在受威胁？
此次 DarkSword 的爆发呈现出**“漏洞商品化”**的特征。这套复杂的利用链并非某个单一黑客组织独有，而是被多个商业间谍软件供应商（如土耳其的 PARS Defense）以及国家级背景的组织（如 UNC6748）同时采用。受影响版本：iOS 18.4 至 iOS 18.7。防御建议：立即更新：苹果已在 iOS 18.7.6 及更高版本（包括最新的 iOS 19/26 分支）中修复了这些漏洞。开启“锁定模式”（Lockdown Mode）：根据报告，虽然 DarkSword 极度先进，但无法突破开启了锁定模式的 iOS 设备，因为该模式关闭了 WebGPU 和复杂的 JS 预编译功能。结语
DarkSword 的出现再次提醒我们，即使是宣称最安全的 iOS 18，在面临多零日漏洞组合（Zero-Day Chains）时依然脆弱。这不再是简单的单一漏洞修补，而是一场关于系统架构防御潜力与攻击者工程化能力的拉锯战。在漏洞利用愈发“流水线化”的今天，及时升级系统已不再是建议，而是生存法则。
