RecodeX 重构消息，慢雾安全团队披露一起针对iOS Safari用户的DarkSword链攻击活动。攻击者伪装成免费VPS服务，落地页event[.]polarnode[.]vip实为诱饵，静默加载lk[.]js，筛选运行iOS 18.4–18.6.2的iPhone Safari设备。匹配设备被注入隐藏iframe，利用DarkSword六CVE链（含WebKit RCE、GPU/mediaplaybackd沙箱逃逸及内核读写）发起多阶段攻击。攻击成功后植入三个插件：SpringBoard（sync.js）递归收集应用容器、AppGroups或绝对路径文件；securityd（auth.js）窃取Keychain中genp/inet数据；kbd（input.js）在imToken、TokenPocket或TronLink前台时捕获键盘输入。慢雾已提取C2、加载器及植入物IOC。最初发现时六CVE中三个为在野零日，截至2026年9月苹果已全部公开披露并修复，当前为n-day复用。建议升级至iOS/iPadOS 18.7.3或26.3+，并屏蔽端口36887。