近期微信朋友圈流傳「點全文即閃退」訊息，針對 iOS 系統特定 Unicode 字元渲染漏洞 (CVE-2015-XXXX 類似)，導致 CoreText 排版引擎崩潰。本文說明攻擊原理、影響範圍與緩解措施。

攻擊原理

• 特定 Unicode 字元序列 (如阿拉伯文連字、組合字元堆疊) 觸發 CoreText 緩衝區溢位/無限迴圈。
• 微信、微博、簡訊、郵件等使用系統排版引擎的 App 皆會閃退。
• Android 使用不同渲染引擎 (HarfBuzz/Skia) 不受影響。
• 本次攻擊僅導致 App 閃退 (Crash)，不會竊取資料、不會植入惡意代碼、不會永久損壞系統。

緩解措施 (官方修補前)

1. 勿點擊可疑「全文」/「展開」：看到「聽說蘋果手機點全文就會閃退」等誘導文案，直接忽略、勿展開。
2. 關閉通知預覽： 設定 → 通知 → 微信 → 關閉「顯示預覽」，避免鎖定畫面自動渲染觸發崩潰。
3. 更新 iOS 至最新版本： 蘋果通常在數天內釋出修補更新 (如 iOS 8.4.1/9.0.1 等)，OTA 更新即可修復核心漏洞。
4. 更新微信至最新版： 微信團隊會在客戶端層面加入字元過濾/截斷機制緩解。
5. 若已中招無法開啟微信： 設定 → 通用 → iPhone 儲存空間 → 微信 → 「卸載 App」 (保留資料) → 重新安裝微信，聊天記錄保留。

歷史同類漏洞回顧

• 2013 「有效力阿拉伯文」字串導致 iOS 6/7 系統級重啟。
• 2015 「Telugu 字元」導致 iOS 11 系統服務崩潰。
• 每次蘋果均在 1-2 週內釋出補丁，核心機制為 CoreText/FontParser 強化邊界檢查。

保持系統與 App 更新，不點可疑連結/展開，是防範此類渲染漏洞的最佳策略。