CVE-2026-86950：苹果 CoreGraphics 越界写入零日已遭定向攻击
苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。
macOS
PamStealer 新变种：假钱包站投毒，载荷解密绑死 C2 服务器
Jamf 威胁实验室发现 PamStealer 新变种，通过假冒加密货币钱包站点 wavel.app 投递 macOS 窃密木马。载荷改用服务端 X25519 密钥交换解密，脱离 C2 无法静态还原；持久化多达四层并劫持 Git hooks。
Docker Sandboxes 曝 macOS 沙箱逃逸 CVE-2026-77179，CVSS 9.4 可读写主机任意文件
Docker 披露 Docker Sandboxes 在 macOS 上的严重漏洞 CVE-2026-77179，CVSS 9.4：沙箱内恶意代码可借 virtio-fs 主机服务端的符号链接跟随缺陷逃逸出共享目录，以主机账户权限读写任意文件，修复版本为 0.42.0。
HBO Max 官方 Reddit 账号被劫持：48 小时 108 条广告传播 ClickFix 木马
HBO Max 官方验证账号 u/hbomax 被劫持，攻击者利用其投放 108 条恶意广告，以虚假 macOS 版 HBO Max 应用诱导用户把命令粘贴进终端，投递信息窃取程序与加密货币剪切器。该活动被命名为 PasteSwitch。