126 個漏洞先被排成了一張表：蘋果的安全公告，是一份被設計過的信任介面

9 月 15 日，蘋果發布 iOS / iPadOS 27 的安全公告，一次修復 126 個安全漏洞，其中包含多個核心層級（Kernel）的高風險問題。對大多數使用者來說，這則訊息在手機上出現的形式是一個紅色圓角徽章、一行「有可用的更新」、一顆「立即安裝」的按鈕。126 這個數字不會出現在那一頁裡。它只存在於蘋果官網那份長長的 HT 開頭安全文件中，用最小可讀的字級、最少的形容詞，一列一列地排開。

那份文件值得被當成一份設計物件來讀。它有一套極穩定的版面語法：每個漏洞一個 CVE 編號、一個受影響的元件名稱、一句「影響描述」，最後是致謝名單。沒有 urgency 的紅色，沒有催促的驚嘆號，只有表格。這種克制是經過選擇的。安全公告的本質是把危險翻譯成可以核對的清單，一旦加上行銷語氣，它的可信度反而會被侵蝕。

一張表的排版，決定了誰會被認真對待

在這 126 個修復項目裡，最值得留意的是 CVE-2026-84607，出現在 AVEVideoEncoder 元件。蘋果的描述是：一個受沙盒限制的 App，可能以核心權限執行任意程式碼。換句話說，一個理論上被關在籠子裡的應用程式，有機會直接拿到系統的最高權限。旁邊還有 CVE-2026-84523（APFS 元件）允許 App 造成系統終止或寫入核心記憶體，以及 CVE-2026-43689 等多項核心漏洞，可能造成核心記憶體損壞、讀取核心記憶體、洩露記憶體布局，甚至讓惡意 App 取得 root 權限。

這些描述在版面上被壓縮成同一級的字體大小。一個能接管整支手機的核心漏洞，和一個只能讀取本機帳號識別碼的小問題，在表格裡佔據幾乎相同的視覺重量。這是這份文件的設計取捨：它選擇不替嚴重度做視覺分級，把排序與判斷的責任交給閱讀者。這與微軟那種一次修復近千個 CVE、以堆疊數量營造規模感的公告相比，是兩種不同的資訊美學。我們先前在隱晦式安全的退場與漏洞揭露介面一文裡談過，揭露本身就是一種介面設計；蘋果的這份公告，正是這個命題的又一次實踐。

致謝名單：一份被排進表格的功勳簿

這次公告裡，中文世界的名字出現得相當整齊。百度安全的 Ye Zhang（@VAR10CK）貢獻了兩項：CVE-2026-65406（BackgroundAssets，惡意 App 可存取敏感使用者資料）與 CVE-2026-65377（Kernel，可導致系統異常終止，後者與新加坡 STAR Labs 的研究員共同報告）。安全研究員 Zhongcheng Li 以網名 CK01 通報了 CVE-2026-86888（App Store，本機 App 可讀取持久化帳號識別碼）；同一人隸屬 IES Red Team，這是字節跳動內部的安全攻防團隊，也通報了 AuthKit 元件的 CVE-2026-84583。另外還有署名 Dem0ns、來自天府簡易信工作室的研究者通報了 Safari 的 CVE-2026-20683。

這份名單的格式本身就是一套制度設計。蘋果用「For reporting」一欄，把外部研究者放進官方文件的正文裡，與自家工程師並列在同一張表上。對研究者和其所屬機構而言，這是一枚可以被截圖、被引用、被寫進履歷的榮譽憑證；對蘋果而言，這是用最小的版面成本，向全球的漏洞獵人釋放「你的工作會被署名」的訊號。與我們觀察過的Safari 更新日誌把 AI 列進貢獻者名單相比，可以看到同一種名單機制正在被反覆使用：名單已經成為安全生態裡的流通貨物，誰被寫進去、怎麼被寫，本身就是一門設計。

值得注意的是名單裡的混寫方式。正式姓名、網名、Twitter 式的 handle、機構名稱，被允許同時存在。「Zhongcheng Li（CK01）」這種括號並列，是官方文件對駭客文化的讓步：研究者在乎的是他們在圈子裡的名字，蘋果在乎的是紀錄的可核對性，括號讓兩者共存。這個小小的排版細節，比任何獎勵金額都更能說明蘋果與白帽社羣之間維持了什麼樣的關係。

更新提示與安全文件之間的斷層

回到一般使用者的畫面。設定 App 裡的更新提示不會告訴你 126 是多少，也不會說明核心權限意味著什麼。它只負責讓你按下按鈕。真正的風險敘事，被收納在大多數人一輩子不會打開的網頁文件裡。

這裡存在一個介面斷層：負責「說服你更新」的介面，與負責「說明為什麼」的介面，被切成兩個完全不同的世界。前者溫和、模糊、無威脅性；後者精確、冷靜、逐條編號。這種分工有效，但也有代價。當說服端把所有更新都做成同一副面孔時，使用者無法分辨「修了幾個小問題」與「有 App 可以接管你的手機」之間的差距，長期下來，更新變成一種例行儀式而非風險決策。這一點，我們在iPadOS 26.7 把更新設計成一種節奏的觀察裡也提過：當推送成為日常，內容的差異就被節奏抹平了。

收在一個數字上

126 不是一個特別驚人的數字，放進整個產業的脈絡裡甚至算節制。它值得被記住的原因在於：這個數字背後，有一份排版嚴謹、措辭保守、署名完整的文件，把數百位工程師與外部研究者的工作，翻譯成使用者唯一需要做的一個動作。

從設計的角度看，蘋果這份公告最成功的地方，是它明白自己在整條信任鏈裡的位置。它不試圖被所有人閱讀，它只負責被需要的人閱讀時經得起檢驗。而那份致謝名單裡的中文名字，也提醒了一件事：安全研究早已是一張跨國的協作網絡，百度、字節跳動的團隊與新加坡的實驗室、獨立研究者，被同一張表格收攏在同一份官方紀錄裡。這可能是這份文件裡最安靜、也最有力的一段排版。

SLUG 之外的最後一句話：升級那顆按鈕，還是按下去吧。