最近苹果推送了一波安全补丁不少用户顺手点了更新就继续忙去了。但如果你用的是 macOS Sonoma 14.8.8 之前的版本或者 Sequoia 15.7.8、Tahoe 26.6 之前的系统这次更新可不是可有可无——它堵上了一个能让任意普通应用直接拿到 root 权限的严重漏洞。这个漏洞编号 CVE-2026-39875CVSS 评分 7.8属于高危级别。发现它的安全研究员 Dallas Dubs 已经把完整的技术细节和可用的概念验证代码PoC都公开了。换句话说攻击者现在手里握着现成的钥匙没打补丁的 Mac 风险敞口相当大。CUPS打印服务成了突破口很多人可能不知道每台 Mac 后台都默默跑着一个叫 CUPS 的打印系统。它负责处理打印任务平时安安静静用户几乎感知不到它的存在。可偏偏就是这个低调的守护进程 cupsd成了这次攻击的入口。问题的根源不在某一行代码写错了而是两个逻辑缺陷被串起来利用了。攻击者先注册一台假打印机把打印请求导向自己控制的监听端。这时候 cupsd 犯了一个关键错误——它把一个本不该交给普通用户的受信任认证令牌乖乖送了过去。攻击者拿到这个令牌后直接重放replay到目标文件路径最终让打印作业以 root 身份把恶意内容写进系统任意位置。整个链条最可怕的地方在于不需要用户点任何确认按钮也不需要弹窗授权全程静默完成。一个看起来人畜无害的第三方 App后台就能把你的 Mac 变成它的后花园。谁发现了这个问题苹果在致谢名单里列了几位研究者Dallas Dubs、XBreach.ai 团队、NVIDIA AI 红队的 Aaron Grattafiori以及 Nosebeard Labs。Dubs 不仅报了漏洞还发布了详尽的技术报告和可运行的 PoC这意味着复现门槛被拉到了地板价。EPSS 预测模型给出的 30 天利用概率虽然只有 0.2%但 PoC 公开后这个数值往往会快速攀升不能掉以轻心。哪些版本中招如果你的 Mac 还在运行 2026 年 7 月底安全更新之前的系统基本都在影响范围内。具体来说macOS Sonoma 14.8.8 以下macOS Sequoia 15.7.8 以下macOS Tahoe 26.6 以下苹果已经确认目前尚未发现这个漏洞被实际利用的案例。但考虑到 PoC 已经满天飞尚未发现和不会发现之间往往只差几天时间。现在该做什么答案只有一个立刻更新。苹果已经在 macOS Sequoia 15.7.8、macOS Sonoma 14.8.8 和 macOS Tahoe 26.6 中彻底修复了这个问题。修复思路是增加权限限制条件让 cupsd 不再轻易把敏感令牌交出去。更新路径很简单打开系统设置 → 通用 → 软件更新把补丁装上。企业用户如果走批量部署也建议把这次更新优先级提到最高。毕竟 root 权限一旦被拿下攻击者可以安装持久化后门、绕过系统完整性保护、读取其他用户数据——基本上等于对设备拥有了完全控制权。最后说两句CUPS 这类系统级服务因为常年在后台运行、权限又高一直是安全研究者重点盯防的对象。这次事件再次说明哪怕是一个打印这么日常的功能也可能成为整座安全大厦的裂缝。对于普通用户来说保持系统自动更新开启或许是成本最低、效果最好的防御手段。别等出了问题再后悔这次补丁真的值得放下手头的事去点一下。