APT29 水坑投毒统计脚本：iOS/Android 双端 N-day 链窃取整机数据
Sekoia 披露 Poisoned Source 行动：APT29 关联攻击者入侵正规站点、搭建仿冒域名，并投毒 Plerdy 统计脚本，向 iOS 与 Android 下发 N-day 利用链，窃取 Cookie、Wi-Fi 密码、短信与整机数据。
iOS
P7 DarkSword 间谍软件：每 15 秒回连，偷钥匙串与钱包
iVerify 披露的 P7 DarkSword 是 DarkSword 攻击链新变种，注入 SpringBoard 后每 15 秒向 C2 轮询指令，能导出钥匙串 JSON、备忘录数据库、照片与应用沙盒文件，并内置 imToken 钱包提取指令。影响 iOS 18.4 至 18.7。
CVE-2026-86950：苹果 CoreGraphics 越界写入零日已遭定向攻击
苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。
CVE-2026-65414：苹果蓝牙越界写入 CVSS 9.8，iOS 27 与 macOS 一次修复 273 个漏洞
苹果 9 月 14 日发布 iOS 27、macOS Golden Gate 27 等全线更新，去重后修复 273 个唯一 CVE，其中蓝牙越界写入 CVE-2026-65414 评分 9.8，远程攻击者可致应用崩溃或执行任意代码，官方暂未发现在野利用。