Apple Xcode 27.2 修補任意檔案讀取及敏感資料存取漏洞

CVE-2026-112605 · CVE-2026-112602

主要來源公告：2026-10-29

本站刊登：2026-10-31 · 內容更新：2026-10-31（香港日期）

情報摘要

Apple 的 Xcode 27.2 安全內容公告列出 CoreDevice 與 Instruments 的兩項漏洞，影響分別為應用程式可能讀取任意檔案及存取敏感用戶資料。Xcode 27.2 於10月29日發布；GovCERT.HK翌日發出相關警報。

Apple 列 CoreDevice 的 CVE-2026-112605 為應用程式可能讀取任意檔案，透過改善符號連結處理修正；Instruments 的 CVE-2026-112602 則為應用程式可能存取敏感用戶資料，透過改善授權狀態管理修正。

Apple 頁面列更新於10月29日發布，頁面發布日期為10月30日。GovCERT.HK 的 A26-10-66 警報使用遠端程式碼執行或資訊洩漏的概括描述，但 Apple 此頁對兩項 CVE 僅列檔案讀取及資料存取；本文不據此把這兩項漏洞稱為已證實的遠端程式碼執行漏洞。

Xcode；27.2 更新適用於 macOS Tahoe 26.6 及之後版本。

使用 Xcode 的 macOS 開發者及機構開發環境管理員

依 Apple 官方更新渠道安裝 Xcode 27.2，並確認 Mac 符合其 macOS Tahoe 26.6 或之後版本要求。機構應盤點實際使用的 Xcode 版本；不要把更新的系統要求當作所有 macOS 版本的受影響範圍。

Apple 此安全內容頁沒有提供 CVSS 分數；GovCERT.HK 列為一般保安警報，本文不自行推算嚴重程度。

此批 Xcode CVE 與先前 Apple 多產品更新不同，不能沿用其他漏洞的影響或利用狀態。

GovCERT 的 macOS 受影響列表與 Apple 的更新適用系統要求不是同一概念，不能互換解讀。

已核對來源未確認野外利用或香港受害個案。