如果你手里还有一台iPhone XS、iPhone XR或者iPhone 11，这两天有一条消息值得认真看一眼。
2026年6月18日，安全研究团队Paradigm Shift公开了一个名为usbliter8的新漏洞，同时放出了技术文章和完整PoC源码。
它针对的不是某个iOS版本，也不是一个更新后就会消失的普通系统漏洞，而是苹果A12、A13芯片中的SecureROM，也就是大家常说的BootROM。
更直白一点说：漏洞藏在芯片出厂时就写死的第一段启动代码和USB硬件工作方式中。苹果可以更新iOS，却无法把已经焊进用户手机里的芯片重新制造一次。
所以，这个漏洞具备一个让越狱玩家格外敏感的特点：受影响设备无法依靠普通软件更新从根本上修复。
不过先别急着拿出数据线。
usbliter8已经打开了一扇非常重要的门，但距离“普通用户点击一下，iPhone XS和11立刻完成越狱”，中间还有一段不短的路。
这次影响的是哪些设备？
研究团队公布的范围是苹果A12、A13，以及Apple Watch S4/S5芯片。
换成大家熟悉的产品，A12对应iPhone XS、XS Max、XR等设备；A13则对应iPhone 11系列和第二代iPhone SE等设备。
文章还提到，A12X和A12Z在技术上也存在支持可能，但目前的公开代码尚未实现。因此，现阶段最准确的说法不是“所有老苹果设备通杀”，而是：研究团队已经在A12、A13和S4/S5上完成了公开利用。
这条分界线很有意思。
此前著名的checkm8 BootROM漏洞让iPhone 5s到iPhone X这一批设备拥有了长期研究价值，checkra1n、palera1n等工具也由此诞生。但从A12开始，苹果加入了更强的安全机制，iPhone XS之后的设备一直没能进入同一条公开工具链。
usbliter8的出现，意味着这道停在iPhone X之后多年的门槛，终于被重新碰到了。
它到底是怎么做到的？
技术文章很长，里面充满DMA、DART、PAC和内存地址。普通用户其实只需要理解一个画面。
把iPhone的USB控制器想象成一名负责搬运包裹的快递员。
按照USB规范，每个特殊包裹应该固定为8字节。控制器会连续接收三个包裹，并把它们整齐放进一块内存仓库。第四个包裹到来时，快递员会把位置指针拉回起点，继续循环使用这块区域。
问题在于，这名“快递员”也接受只有4字节的异常包裹。
放入包裹时，它按实际的4字节向前移动；回到起点时，却仍然按照三个8字节包裹固定后退24字节。几轮操作以后，指针就退到了原本仓库之外，把攻击者准备的数据写进了不该触碰的内存。
真正让问题升级的，是A12和A13 SecureROM中的USB内存保护配置没有挡住这种写入。研究人员因此可以逐步覆盖关键数据，最终控制处理器接下来执行哪段代码。
A13上还有苹果引以为傲的指针认证PAC，利用难度远高于A12。团队并没有简单绕开它，而是组合了USB中断、任务切换、异常处理和内存重映射等多步操作，最终仍然获得了高权限代码执行。
这也是usbliter8真正有分量的地方：它不只是让手机崩溃，也不只是证明“这里可能有问题”，而是把漏洞一路做成了可以启动未签名代码的完整利用链。
GitHub上的代码，已经能做什么？
公开仓库不是一个只有几行说明的概念项目。
里面包含针对A12、A13和S4/S5的独立利用路径、USB底层发包代码、SecureROM载荷、自定义DFU处理器，以及一个名为usbliter8ctl的电脑端控制工具。
成功利用以后，设备的USB序列号末尾会出现：
PWND:[usbliter8]
这代表设备已经进入被控制的DFU环境。当前工具公开了两项关键能力：
- 临时降低芯片的production mode，也就是
demote； - 上传并启动解密后的未签名raw iBoot。
iBoot是iPhone启动链中非常关键的一环。能够绕过签名检查启动自定义iBoot，意味着研究人员已经拿到了继续搭建启动工具、调试环境乃至越狱链条的重要入口。
但这个入口目前有一个很特别的硬件门槛：普通Mac或PC的USB协议栈无法直接发送漏洞需要的异常底层数据包。
研究团队选择了RP2350微控制器开发板，例如Waveshare RP2350 USB-A或Raspberry Pi Pico 2。用户需要先让iPhone进入DFU，再把手机接到开发板上。PoC成功运行通常需要0.7至1.2秒，随后再把手机接回电脑进行控制。
这显然还不是插上普通数据线就能完成的消费级体验。
四件事，现在必须说清楚
越是令人兴奋的漏洞，越容易在传播中被写成另一回事。
第一，它不是远程攻击。攻击者需要物理接触设备、进入DFU，并使用专门的微控制器硬件。
第二，它不是锁屏密码破解工具。作者明确表示，usbliter8没有直接攻破SEP安全隔区。它不等于拿到一部锁屏iPhone就能读取照片、聊天记录和用户密钥。
第三，它还不是完整越狱。启动未签名iBoot只是一个极其重要的底层入口。真正的越狱还需要适配A12/A13的加载器、内核补丁、系统版本、rootless环境和大量设备差异。
第四，它不是永久写入，也不等于任意降级。当前利用属于tethered模式，设备正常重启后需要重新执行。SEP、Cryptex、基带和固件兼容性也不会因为一个BootROM漏洞自动消失。
把这些边界讲清楚，并不会削弱usbliter8的价值。恰恰相反，它让我们看清团队真正完成了什么，而不是用一句“苹果被彻底攻破”把技术含量全部抹平。
从checkm8到“Checkm9”，这个名字为什么有意思？
先说明：Checkm9不是研究团队公布的正式名称。
漏洞的正式名字是usbliter8，也没有checkra1n或palera1n团队宣布一款名为Checkm9的新工具。
但作为一个面向未来的趣味称呼，Checkm9确实很传神。
checkm8曾经代表A11及更早设备那道无法通过更新关闭的底层入口；如今usbliter8把公开研究推进到A12、A13。把下一段故事叫作“Checkm9”，就像是在问：属于iPhone XS和iPhone 11的checkm8时刻，会不会真的到来？
注意，它应该是一个问号，而不是提前写好的结论。
相关推文中最吸引人的判断，是checkra1n或palera1n未来可能更新，支持iPhone XS和iPhone 11。
从技术方向上看，这并非没有依据。usbliter8提供的正是这类工具最需要的底层启动入口。
但“可以基于它开发”和“现有工具马上更新”是两件事。
目前checkra1n官方支持范围仍停留在iPhone 5s到iPhone X；palera1n项目当前明确面向A8到A11设备。A12、A13使用arm64e架构，还带来了新的PAC、内核保护和系统环境。即使复用一部分PongoOS、内核补丁或引导思路，也很可能需要大规模改造，甚至诞生一套新的工具。
因此，比“palera1n明天支持iPhone 11”更准确、也更值得期待的表述是：
社区终于拿到了构建A12/A13新工具链所需要的第一块重要拼图。
老设备的故事，可能才刚刚重新开始
一台发布多年的iPhone，最容易被当作已经写完结局的产品。
性能不再领先，系统支持逐渐减少，二手价格一路下降。可对于安全研究和越狱社区来说，决定一台设备生命力的从来不只有跑分，还有它是否拥有一个可重复、可研究、不会被下一次系统更新抹掉的底层入口。
usbliter8最令人乐观的地方，不是它承诺了某个工具的发布日期——作者没有做这种承诺。
真正令人兴奋的是，他们没有只展示一段视频或一张截图，而是公开了文章、利用代码、微控制器固件和后续控制工具。后来者不必从一句传闻开始，而是可以从一套已经工作的PoC继续向前走。
接下来可能有人尝试移植加载器，有人研究A12/A13上的PongoOS，有人补齐内核支持，也有人把RP2350做成更适合普通用户使用的小工具。
这些事情不会一夜之间完成。但很多真正影响深远的社区项目，最初都不是从“一键安装”开始，而是从一个足够可靠、足够开放的入口开始。
哪怕未来诞生的工具并不叫Checkm9，这个词代表的期待已经足够清楚：在checkm8之后，A12和A13终于也有机会写下自己的下一章。
iPhone XS和iPhone 11当然还没有在今天突然变成新一代“越狱神机”。
但它们已经不再像昨天那样，只能等待故事结束。
一道无法通过iOS更新彻底关闭的门已经被推开。接下来能走多远，就看研究者和开发者如何把这份PoC，变成下一段真正属于A12、A13的故事。
原始资料
- Paradigm Shift技术文章：Introducing usbliter8
- 开源PoC：prdgmshift/usbliter8
- matteyeux推文：A new unpatchable vulnerability…
- checkra1n官网：checkra.in
- palera1n仓库：palera1n/palera1n
