丁滯后：從 Apple 29 個(gè) CVE 的安全更新看如何讓每個(gè)設(shè)備真正升級(jí))
用 Fleet 量化補(bǔ)丁滯后從 Apple 29 個(gè) CVE 的安全更新看如何讓每個(gè)設(shè)備真正升級(jí)【免費(fèi)下載鏈接】fleetOpen device management項(xiàng)目地址: https://gitcode.com/GitHub_Trending/fl/fleet導(dǎo)讀Apple 在 iOS 26.6.1 與 macOS Tahoe 26.6.2 中一次性修復(fù)了 29 個(gè)漏洞含 3 個(gè)內(nèi)核缺陷且這是三周內(nèi)的第三個(gè)安全發(fā)布。本指南以這次更新為背景講解如何用 Fleet 的 OS 版本報(bào)告拿到誰(shuí)還跑在脆弱版本上的精確計(jì)數(shù)再通過 GitOps 配置minimum_version與deadline把請(qǐng)升級(jí)變成自動(dòng)落地的強(qiáng)制結(jié)果幫助你從假設(shè)大家已更新轉(zhuǎn)向數(shù)清楚誰(shuí)還沒更新。背景29 個(gè) CVE、3 個(gè)內(nèi)核漏洞、三周三更Apple 官方安全頁(yè)面為這次發(fā)布列出了 29 個(gè) CVE分布在 Audio、ImageIO、IOGPUFamily、內(nèi)核kernel與 WebKit 等組件中。其中21 個(gè)漏洞位于 WebKit瀏覽器引擎是這次修復(fù)的絕對(duì)大頭3 個(gè)是內(nèi)核kernel漏洞屬于可被利用來提權(quán)或突破系統(tǒng)邊界的嚴(yán)重級(jí)別1 個(gè)是 ImageIO 中的代碼執(zhí)行漏洞——ImageIO 是設(shè)備上幾乎所有 App 打開圖片時(shí)都會(huì)用到的框架攻擊面極大iOS 額外修復(fù)了一個(gè)電話telephony漏洞它允許處于特權(quán)網(wǎng)絡(luò)位置的攻擊者繞過 IPSec 認(rèn)證并攔截流量。截至目前這些漏洞均未被報(bào)告為已被積極利用。這恰恰是在漏洞被武器化之前快速打補(bǔ)丁最關(guān)鍵的窗口期。比 CVE 數(shù)量更值得關(guān)注的是發(fā)布節(jié)奏。這是 Apple 三周內(nèi)的第三次安全發(fā)布——幾周前 iOS 26.6 在 iPhone 上修復(fù)了超過 75 個(gè)問題、在 Mac 上修復(fù)了超過 150 個(gè)。過去安全團(tuán)隊(duì)可以圍繞 Apple 相對(duì)可預(yù)測(cè)的更新節(jié)奏做規(guī)劃但現(xiàn)在節(jié)奏已經(jīng)變了每隔一兩周就會(huì)出現(xiàn)一次新的安全發(fā)布等下次一起更不再是一個(gè)合理的計(jì)劃。為什么更新已推送不等于更新已落地推送一個(gè)更新你的設(shè)備池里總會(huì)有不到 100% 的設(shè)備真正安裝它每次都如此自動(dòng)更新開關(guān)被人為關(guān)閉某臺(tái)筆記本合蓋一整周根本沒機(jī)會(huì)聯(lián)網(wǎng)檢查更新自然不知道補(bǔ)丁的存在手機(jī)上彈出今晚安裝提示用戶連續(xù)三個(gè)晚上把它滑掉設(shè)備離線數(shù)天回連時(shí)才發(fā)現(xiàn)自己錯(cuò)過了整整一輪補(bǔ)丁。這些問題在有人提出錯(cuò)誤的問題之前都不會(huì)浮出水面——比如那臺(tái)特定的脆弱 Mac 是否還在網(wǎng)絡(luò)上。所以正確的修復(fù)方案不是更好的提醒而是一個(gè)你可以隨時(shí)拉取的計(jì)數(shù)。與其假設(shè)補(bǔ)丁因?yàn)楸煌扑途吐涞亓四阈枰粋€(gè)數(shù)字現(xiàn)在還有多少臺(tái)設(shè)備運(yùn)行著脆弱版本并且按平臺(tái)拆分。看清誰(shuí)還在暴露Fleet OS 版本報(bào)告Fleet 的OS 版本報(bào)告會(huì)把每一臺(tái)已注冊(cè)的 Mac、iPhone、iPad 按精確構(gòu)建版本分組并為每個(gè)版本附加實(shí)時(shí)主機(jī)數(shù)。篩選 macOS 時(shí)你會(huì)得到一份把設(shè)備池清晰切分的清單多少臺(tái)已經(jīng)跑到 Tahoe 26.6.2多少臺(tái)還停留在 26.6.1 或更早多少臺(tái)根本沒有帶著更新回連檢查過。同一份報(bào)告同時(shí)覆蓋 iOS 與 iPadOS因此一臺(tái)跑著 iOS 26.6 的手機(jī)會(huì)和仍在追趕的 Mac 出現(xiàn)在同一份清單里而不需要單獨(dú)逐個(gè)平臺(tái)去查。報(bào)告背后的 API報(bào)告的數(shù)據(jù)來自 REST API 端點(diǎn)GET /api/v1/fleet/os_versions路由注冊(cè)見 server/service/handler.go。它支持以下查詢參數(shù)完整說明見 docs/REST API/rest-api.md參數(shù)類型說明fleet_idintegerFleet Premium 可用。按指定 fleet 過濾0表示Unassigned主機(jī)platformstring按平臺(tái)過濾darwinmacOS、windows、linux、chrome、ios、ipados、androidos_namestring按 OS 名稱過濾必須與os_version同時(shí)指定os_versionstring按 OS 版本過濾必須與os_name同時(shí)指定max_vulnerabilitiesinteger限制每個(gè) OS 版本返回的漏洞數(shù)量省略則返回全部page/per_pageinteger分頁(yè)參數(shù)默認(rèn)每頁(yè) 20 條order_keystring排序字段允許值為hosts_count默認(rèn)降序從源碼實(shí)現(xiàn)看server/service/hosts.go服務(wù)端會(huì)對(duì)這些參數(shù)做嚴(yán)格校驗(yàn)platform必須是上述七種之一os_name與os_version必須成對(duì)出現(xiàn)排序鍵只允許hosts_count。漏洞數(shù)據(jù)僅在分頁(yè)后的當(dāng)前頁(yè)上拉取以避免海量 CVE 拖慢響應(yīng)——這是實(shí)現(xiàn)層面為報(bào)告做的性能取舍。響應(yīng)中每個(gè) OS 版本對(duì)象對(duì)應(yīng) server/fleet/hosts.go 定義的OSVersion結(jié)構(gòu)核心字段包括{ os_version_id: 123, hosts_count: 21, name: macOS 26.6.1, name_only: macOS, version: 26.6.1, platform: darwin, generated_cpes: [], vulnerabilities_count: 3, vulnerabilities: [ { cve: CVE-2026-XXXXX, details_link: https://nvd.nist.gov/vuln/detail/CVE-2026-XXXXX, cvss_score: 9.8, epss_probability: 0.1234, cisa_known_exploit: false, cve_published: 2026-08-10T00:15:00Z, cve_description: ..., resolved_in_version: 26.6.2 } ] }關(guān)鍵點(diǎn)在于vulnerabilities數(shù)組中的每一項(xiàng)都攜帶CVE ID、CVSS 分?jǐn)?shù)、EPSS 概率、是否在 CISA 的 Known Exploited VulnerabilitiesKEV列表中以及該漏洞在哪個(gè)版本被修復(fù)resolved_in_version。也就是說報(bào)告本身已經(jīng)回答了那個(gè)否則要拿 Apple 公告手動(dòng)交叉核對(duì)一下午的問題現(xiàn)在哪些設(shè)備暴露在本次發(fā)布的這 29 個(gè) CVE 中的哪些之上。對(duì) macOS 與 Windows報(bào)告按 OS 版本給出精確的版本級(jí)漏洞數(shù)據(jù)對(duì) Linux則基于該 OS 版本上各主機(jī)的內(nèi)核漏洞進(jìn)行聚合活動(dòng)與非活動(dòng)內(nèi)核都會(huì)被計(jì)入見 docs/REST API/rest-api.md。把報(bào)告變成強(qiáng)制截止日期GitOps 里的 minimum_version 與 deadline報(bào)告告訴你現(xiàn)狀。在 Fleet Premium 上你還可以不為每個(gè)落后設(shè)備開一張工單就彌合差距在 Fleet 的 GitOps 配置中為 macOS、iOS 或 iPadOS 設(shè)置minimum_version和deadline就能把請(qǐng)升級(jí)變成被強(qiáng)制執(zhí)行的結(jié)果——低于最低版本的設(shè)備會(huì)收到提示一旦截止日期過去更新就會(huì)安裝。這套配置的完整 YAML 示例見 docs/Configuration/yaml-files.mdmdm: macos_updates: # Available in Fleet Premium # 方式一指定具體版本號(hào) minimum_version: 15.4.1 deadline: 2025-07-01 # 方式二始終跟進(jìn) Apple 為每臺(tái)硬件發(fā)布的最新版 minimum_version: latest deadline_days: 14 update_new_hosts: true ios_updates: # Available in Fleet Premium minimum_version: 18.1 deadline: 2024-12-31 ipados_updates: # Available in Fleet Premium minimum_version: 18.1 deadline: 2024-12-31各參數(shù)的含義與約束同上文檔minimum_version要求的最低 OS 版本。接受具體版本號(hào)如15.4.1或latest取該主機(jī)硬件可獲得的最新版本。指定版本號(hào)時(shí)必須與deadline配對(duì)latest時(shí)則必須與deadline_days配對(duì)。默認(rèn)。deadlineYYYY-MM-DD格式的截止日期。macOS 14 及以上主機(jī)的精確截止時(shí)間為本地時(shí)間正午noon local time更老的 macOS 版本為 20:00 UTC。指定具體版本號(hào)時(shí)必填minimum_version為latest時(shí)不可用。默認(rèn)。deadline_daysApple 發(fā)布更新后多少天之內(nèi)必須安裝。僅當(dāng)minimum_version為latest時(shí)使用此時(shí)截止日不再是固定日歷日而是相對(duì)每個(gè)版本的發(fā)布日期推算。默認(rèn)null。update_new_hosts通過自動(dòng)設(shè)備注冊(cè)ADE新入網(wǎng)的 macOS 主機(jī)會(huì)在 Setup Assistant 期間直接更新到 Apple 最新版本。為向后兼容若未指定但deadline與minimum_version已設(shè)置則默認(rèn)視為true否則默認(rèn)false。配置在源碼層的校驗(yàn)邏輯AppleOSUpdateSettings類型定義與校驗(yàn)邏輯見 server/fleet/app.goValidate()方法會(huì)把上面這些約束落到實(shí)處版本號(hào)必須匹配^\d(\.\d)?(\.\d)?$格式——只接受純數(shù)字版本號(hào)如13.0.1不接受Ventura 13或13.0.1 (22A400)這類帶描述或構(gòu)建號(hào)的寫法deadline必須能被2006-01-02格式解析latest模式下不允許同時(shí)設(shè)置deadline且必須提供大于 0 的deadline_days非latest模式下不允許設(shè)置deadline_daysminimum_version與deadline必須成對(duì)出現(xiàn)。這種校驗(yàn)在設(shè)計(jì)上保證了配置在進(jìn)入 Git 審查流程時(shí)就已經(jīng)是自洽的不會(huì)出現(xiàn)設(shè)了版本沒設(shè)截止日之類的半成品策略。配置本身也在 Git 里整份 GitOps 配置文件存放在版本庫(kù)中像其他任何變更一樣接受代碼審查并且以相同方式應(yīng)用到該平臺(tái)的每一臺(tái)已注冊(cè)設(shè)備上。這意味著下一次安全發(fā)布到來時(shí)你不需要重新發(fā)明一套部署計(jì)劃——只需更新版本號(hào)與日期走一遍熟悉的審查與fleetctl apply流程即可參考fleetctl apply應(yīng)用配置的方式見 docs/Contributing/guides/cli/fleetctl-apply.md。配套的 REST API 也暴露了同樣的mdm.macos_updates/ios_updates/ipados_updates配置結(jié)構(gòu)見 docs/REST API/rest-api.md方便以代碼方式讀取與核對(duì)當(dāng)前策略。補(bǔ)丁滯后首先是可見性問題其次才是更新問題內(nèi)核漏洞以及圖片解析這類日常框架中的代碼執(zhí)行漏洞不會(huì)等你設(shè)備池里的落后設(shè)備找時(shí)間安裝更新。那些在這次發(fā)布中處理得當(dāng)?shù)慕M織往往不是補(bǔ)丁打得最快的而是能在幾分鐘內(nèi)確切知道哪些設(shè)備還需要打補(bǔ)丁的。把這次的節(jié)奏套進(jìn)工作流里你可以這樣做發(fā)布當(dāng)天用GET /api/v1/fleet/os_versions?platformdarwin或 UI 中的 OS 版本報(bào)告拿到 26.6.1 及更早版本的主機(jī)計(jì)數(shù)直接看到哪些設(shè)備暴露在本次 29 個(gè) CVE 中按 CVSS 分?jǐn)?shù)與 CISA KEV 狀態(tài)排序處置優(yōu)先級(jí)同日在 GitOps 配置中把macos_updates.minimum_version設(shè)為26.6.2、deadline設(shè)為 1–3 天后的日期或使用latestdeadline_days保持跟進(jìn)最新版iOS / iPadOS 同理截止日之后報(bào)告中的hosts_count會(huì)告訴你還有多少臺(tái)落在舊版本上——這些就是需要人工介入離線、被關(guān)閉的自動(dòng)更新、用戶反復(fù)跳過的少數(shù)派下一次發(fā)布重復(fù)同一套流程版本號(hào)與日期隨新公告滾動(dòng)更新即可。小結(jié)Apple 三周三更的節(jié)奏意味著等下一個(gè)補(bǔ)丁一起裝已經(jīng)不再成立29 個(gè) CVE其中 3 個(gè)內(nèi)核漏洞、1 個(gè) ImageIO 代碼執(zhí)行也遠(yuǎn)不是有空再打的清單。Fleet 把這件事拆成了兩個(gè)清晰的環(huán)節(jié)OS 版本報(bào)告負(fù)責(zé)給出誰(shuí)還沒更新的精確計(jì)數(shù)并直接綁定 CVE 信息GitOps 里的minimum_version與deadline負(fù)責(zé)把剩余的缺口自動(dòng)補(bǔ)齊。先看到數(shù)字再執(zhí)行策略補(bǔ)丁滯后就不再是拍腦袋的猜測(cè)而是可度量、可強(qiáng)制、可復(fù)盤的過程。深入閱讀OS 版本報(bào)告 REST API 完整參數(shù)與響應(yīng)示例docs/REST API/rest-api.mdOS 更新強(qiáng)制策略的 YAML 配置詳解docs/Configuration/yaml-files.mdAppleOSUpdateSettings配置結(jié)構(gòu)與校驗(yàn)邏輯源碼server/fleet/app.goOS 版本列表/詳情端點(diǎn)的服務(wù)端實(shí)現(xiàn)server/service/hosts.goOS 版本聚合數(shù)據(jù)結(jié)構(gòu)定義server/fleet/hosts.go【免費(fèi)下載鏈接】fleetOpen device management項(xiàng)目地址: https://gitcode.com/GitHub_Trending/fl/fleet創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 用 Fleet 量化補(bǔ)丁滯后：從 Apple 29 個(gè) CVE 的安全更新看如何讓每個(gè)設(shè)備真正升級(jí)
用 Fleet 量化補(bǔ)丁滯后從 Apple 29 個(gè) CVE 的安全更新看如何讓每個(gè)設(shè)備真正升級(jí)【免費(fèi)下載鏈接】fleetOpen device management項(xiàng)目地址: https://gitcode.com/GitHub_Trending/fl/fleet導(dǎo)讀Apple 在 iOS 26.6.1 與 macOS Tahoe 26.6.2 中一次性修復(fù)了 29 個(gè)漏洞含 3 個(gè)內(nèi)核缺陷且這是三周內(nèi)的第三個(gè)安全發(fā)布。本指南以這次更新為背景講解如何用 Fleet 的 OS 版本報(bào)告拿到誰(shuí)還跑在脆弱版本上的精確計(jì)數(shù)再通過 GitOps 配置minimum_version與deadline把請(qǐng)升級(jí)變成自動(dòng)落地的強(qiáng)制結(jié)果幫助你從假設(shè)大家已更新轉(zhuǎn)向數(shù)清楚誰(shuí)還沒更新。背景29 個(gè) CVE、3 個(gè)內(nèi)核漏洞、三周三更Apple 官方安全頁(yè)面為這次發(fā)布列出了 29 個(gè) CVE分布在 Audio、ImageIO、IOGPUFamily、內(nèi)核kernel與 WebKit 等組件中。其中21 個(gè)漏洞位于 WebKit瀏覽器引擎是這次修復(fù)的絕對(duì)大頭3 個(gè)是內(nèi)核kernel漏洞屬于可被利用來提權(quán)或突破系統(tǒng)邊界的嚴(yán)重級(jí)別1 個(gè)是 ImageIO 中的代碼執(zhí)行漏洞——ImageIO 是設(shè)備上幾乎所有 App 打開圖片時(shí)都會(huì)用到的框架攻擊面極大iOS 額外修復(fù)了一個(gè)電話telephony漏洞它允許處于特權(quán)網(wǎng)絡(luò)位置的攻擊者繞過 IPSec 認(rèn)證并攔截流量。截至目前這些漏洞均未被報(bào)告為已被積極利用。這恰恰是在漏洞被武器化之前快速打補(bǔ)丁最關(guān)鍵的窗口期。比 CVE 數(shù)量更值得關(guān)注的是發(fā)布節(jié)奏。這是 Apple 三周內(nèi)的第三次安全發(fā)布——幾周前 iOS 26.6 在 iPhone 上修復(fù)了超過 75 個(gè)問題、在 Mac 上修復(fù)了超過 150 個(gè)。過去安全團(tuán)隊(duì)可以圍繞 Apple 相對(duì)可預(yù)測(cè)的更新節(jié)奏做規(guī)劃但現(xiàn)在節(jié)奏已經(jīng)變了每隔一兩周就會(huì)出現(xiàn)一次新的安全發(fā)布等下次一起更不再是一個(gè)合理的計(jì)劃。為什么更新已推送不等于更新已落地推送一個(gè)更新你的設(shè)備池里總會(huì)有不到 100% 的設(shè)備真正安裝它每次都如此自動(dòng)更新開關(guān)被人為關(guān)閉某臺(tái)筆記本合蓋一整周根本沒機(jī)會(huì)聯(lián)網(wǎng)檢查更新自然不知道補(bǔ)丁的存在手機(jī)上彈出今晚安裝提示用戶連續(xù)三個(gè)晚上把它滑掉設(shè)備離線數(shù)天回連時(shí)才發(fā)現(xiàn)自己錯(cuò)過了整整一輪補(bǔ)丁。這些問題在有人提出錯(cuò)誤的問題之前都不會(huì)浮出水面——比如那臺(tái)特定的脆弱 Mac 是否還在網(wǎng)絡(luò)上。所以正確的修復(fù)方案不是更好的提醒而是一個(gè)你可以隨時(shí)拉取的計(jì)數(shù)。與其假設(shè)補(bǔ)丁因?yàn)楸煌扑途吐涞亓四阈枰粋€(gè)數(shù)字現(xiàn)在還有多少臺(tái)設(shè)備運(yùn)行著脆弱版本并且按平臺(tái)拆分。看清誰(shuí)還在暴露Fleet OS 版本報(bào)告Fleet 的OS 版本報(bào)告會(huì)把每一臺(tái)已注冊(cè)的 Mac、iPhone、iPad 按精確構(gòu)建版本分組并為每個(gè)版本附加實(shí)時(shí)主機(jī)數(shù)。篩選 macOS 時(shí)你會(huì)得到一份把設(shè)備池清晰切分的清單多少臺(tái)已經(jīng)跑到 Tahoe 26.6.2多少臺(tái)還停留在 26.6.1 或更早多少臺(tái)根本沒有帶著更新回連檢查過。同一份報(bào)告同時(shí)覆蓋 iOS 與 iPadOS因此一臺(tái)跑著 iOS 26.6 的手機(jī)會(huì)和仍在追趕的 Mac 出現(xiàn)在同一份清單里而不需要單獨(dú)逐個(gè)平臺(tái)去查。報(bào)告背后的 API報(bào)告的數(shù)據(jù)來自 REST API 端點(diǎn)GET /api/v1/fleet/os_versions路由注冊(cè)見 server/service/handler.go。它支持以下查詢參數(shù)完整說明見 docs/REST API/rest-api.md參數(shù)類型說明fleet_idintegerFleet Premium 可用。按指定 fleet 過濾0表示Unassigned主機(jī)platformstring按平臺(tái)過濾darwinmacOS、windows、linux、chrome、ios、ipados、androidos_namestring按 OS 名稱過濾必須與os_version同時(shí)指定os_versionstring按 OS 版本過濾必須與os_name同時(shí)指定max_vulnerabilitiesinteger限制每個(gè) OS 版本返回的漏洞數(shù)量省略則返回全部page/per_pageinteger分頁(yè)參數(shù)默認(rèn)每頁(yè) 20 條order_keystring排序字段允許值為hosts_count默認(rèn)降序從源碼實(shí)現(xiàn)看server/service/hosts.go服務(wù)端會(huì)對(duì)這些參數(shù)做嚴(yán)格校驗(yàn)platform必須是上述七種之一os_name與os_version必須成對(duì)出現(xiàn)排序鍵只允許hosts_count。漏洞數(shù)據(jù)僅在分頁(yè)后的當(dāng)前頁(yè)上拉取以避免海量 CVE 拖慢響應(yīng)——這是實(shí)現(xiàn)層面為報(bào)告做的性能取舍。響應(yīng)中每個(gè) OS 版本對(duì)象對(duì)應(yīng) server/fleet/hosts.go 定義的OSVersion結(jié)構(gòu)核心字段包括{ os_version_id: 123, hosts_count: 21, name: macOS 26.6.1, name_only: macOS, version: 26.6.1, platform: darwin, generated_cpes: [], vulnerabilities_count: 3, vulnerabilities: [ { cve: CVE-2026-XXXXX, details_link: https://nvd.nist.gov/vuln/detail/CVE-2026-XXXXX, cvss_score: 9.8, epss_probability: 0.1234, cisa_known_exploit: false, cve_published: 2026-08-10T00:15:00Z, cve_description: ..., resolved_in_version: 26.6.2 } ] }關(guān)鍵點(diǎn)在于vulnerabilities數(shù)組中的每一項(xiàng)都攜帶CVE ID、CVSS 分?jǐn)?shù)、EPSS 概率、是否在 CISA 的 Known Exploited VulnerabilitiesKEV列表中以及該漏洞在哪個(gè)版本被修復(fù)resolved_in_version。也就是說報(bào)告本身已經(jīng)回答了那個(gè)否則要拿 Apple 公告手動(dòng)交叉核對(duì)一下午的問題現(xiàn)在哪些設(shè)備暴露在本次發(fā)布的這 29 個(gè) CVE 中的哪些之上。對(duì) macOS 與 Windows報(bào)告按 OS 版本給出精確的版本級(jí)漏洞數(shù)據(jù)對(duì) Linux則基于該 OS 版本上各主機(jī)的內(nèi)核漏洞進(jìn)行聚合活動(dòng)與非活動(dòng)內(nèi)核都會(huì)被計(jì)入見 docs/REST API/rest-api.md。把報(bào)告變成強(qiáng)制截止日期GitOps 里的 minimum_version 與 deadline報(bào)告告訴你現(xiàn)狀。在 Fleet Premium 上你還可以不為每個(gè)落后設(shè)備開一張工單就彌合差距在 Fleet 的 GitOps 配置中為 macOS、iOS 或 iPadOS 設(shè)置minimum_version和deadline就能把請(qǐng)升級(jí)變成被強(qiáng)制執(zhí)行的結(jié)果——低于最低版本的設(shè)備會(huì)收到提示一旦截止日期過去更新就會(huì)安裝。這套配置的完整 YAML 示例見 docs/Configuration/yaml-files.mdmdm: macos_updates: # Available in Fleet Premium # 方式一指定具體版本號(hào) minimum_version: 15.4.1 deadline: 2025-07-01 # 方式二始終跟進(jìn) Apple 為每臺(tái)硬件發(fā)布的最新版 minimum_version: latest deadline_days: 14 update_new_hosts: true ios_updates: # Available in Fleet Premium minimum_version: 18.1 deadline: 2024-12-31 ipados_updates: # Available in Fleet Premium minimum_version: 18.1 deadline: 2024-12-31各參數(shù)的含義與約束同上文檔minimum_version要求的最低 OS 版本。接受具體版本號(hào)如15.4.1或latest取該主機(jī)硬件可獲得的最新版本。指定版本號(hào)時(shí)必須與deadline配對(duì)latest時(shí)則必須與deadline_days配對(duì)。默認(rèn)。deadlineYYYY-MM-DD格式的截止日期。macOS 14 及以上主機(jī)的精確截止時(shí)間為本地時(shí)間正午noon local time更老的 macOS 版本為 20:00 UTC。指定具體版本號(hào)時(shí)必填minimum_version為latest時(shí)不可用。默認(rèn)。deadline_daysApple 發(fā)布更新后多少天之內(nèi)必須安裝。僅當(dāng)minimum_version為latest時(shí)使用此時(shí)截止日不再是固定日歷日而是相對(duì)每個(gè)版本的發(fā)布日期推算。默認(rèn)null。update_new_hosts通過自動(dòng)設(shè)備注冊(cè)ADE新入網(wǎng)的 macOS 主機(jī)會(huì)在 Setup Assistant 期間直接更新到 Apple 最新版本。為向后兼容若未指定但deadline與minimum_version已設(shè)置則默認(rèn)視為true否則默認(rèn)false。配置在源碼層的校驗(yàn)邏輯AppleOSUpdateSettings類型定義與校驗(yàn)邏輯見 server/fleet/app.goValidate()方法會(huì)把上面這些約束落到實(shí)處版本號(hào)必須匹配^\d(\.\d)?(\.\d)?$格式——只接受純數(shù)字版本號(hào)如13.0.1不接受Ventura 13或13.0.1 (22A400)這類帶描述或構(gòu)建號(hào)的寫法deadline必須能被2006-01-02格式解析latest模式下不允許同時(shí)設(shè)置deadline且必須提供大于 0 的deadline_days非latest模式下不允許設(shè)置deadline_daysminimum_version與deadline必須成對(duì)出現(xiàn)。這種校驗(yàn)在設(shè)計(jì)上保證了配置在進(jìn)入 Git 審查流程時(shí)就已經(jīng)是自洽的不會(huì)出現(xiàn)設(shè)了版本沒設(shè)截止日之類的半成品策略。配置本身也在 Git 里整份 GitOps 配置文件存放在版本庫(kù)中像其他任何變更一樣接受代碼審查并且以相同方式應(yīng)用到該平臺(tái)的每一臺(tái)已注冊(cè)設(shè)備上。這意味著下一次安全發(fā)布到來時(shí)你不需要重新發(fā)明一套部署計(jì)劃——只需更新版本號(hào)與日期走一遍熟悉的審查與fleetctl apply流程即可參考fleetctl apply應(yīng)用配置的方式見 docs/Contributing/guides/cli/fleetctl-apply.md。配套的 REST API 也暴露了同樣的mdm.macos_updates/ios_updates/ipados_updates配置結(jié)構(gòu)見 docs/REST API/rest-api.md方便以代碼方式讀取與核對(duì)當(dāng)前策略。補(bǔ)丁滯后首先是可見性問題其次才是更新問題內(nèi)核漏洞以及圖片解析這類日常框架中的代碼執(zhí)行漏洞不會(huì)等你設(shè)備池里的落后設(shè)備找時(shí)間安裝更新。那些在這次發(fā)布中處理得當(dāng)?shù)慕M織往往不是補(bǔ)丁打得最快的而是能在幾分鐘內(nèi)確切知道哪些設(shè)備還需要打補(bǔ)丁的。把這次的節(jié)奏套進(jìn)工作流里你可以這樣做發(fā)布當(dāng)天用GET /api/v1/fleet/os_versions?platformdarwin或 UI 中的 OS 版本報(bào)告拿到 26.6.1 及更早版本的主機(jī)計(jì)數(shù)直接看到哪些設(shè)備暴露在本次 29 個(gè) CVE 中按 CVSS 分?jǐn)?shù)與 CISA KEV 狀態(tài)排序處置優(yōu)先級(jí)同日在 GitOps 配置中把macos_updates.minimum_version設(shè)為26.6.2、deadline設(shè)為 1–3 天后的日期或使用latestdeadline_days保持跟進(jìn)最新版iOS / iPadOS 同理截止日之后報(bào)告中的hosts_count會(huì)告訴你還有多少臺(tái)落在舊版本上——這些就是需要人工介入離線、被關(guān)閉的自動(dòng)更新、用戶反復(fù)跳過的少數(shù)派下一次發(fā)布重復(fù)同一套流程版本號(hào)與日期隨新公告滾動(dòng)更新即可。小結(jié)Apple 三周三更的節(jié)奏意味著等下一個(gè)補(bǔ)丁一起裝已經(jīng)不再成立29 個(gè) CVE其中 3 個(gè)內(nèi)核漏洞、1 個(gè) ImageIO 代碼執(zhí)行也遠(yuǎn)不是有空再打的清單。Fleet 把這件事拆成了兩個(gè)清晰的環(huán)節(jié)OS 版本報(bào)告負(fù)責(zé)給出誰(shuí)還沒更新的精確計(jì)數(shù)并直接綁定 CVE 信息GitOps 里的minimum_version與deadline負(fù)責(zé)把剩余的缺口自動(dòng)補(bǔ)齊。先看到數(shù)字再執(zhí)行策略補(bǔ)丁滯后就不再是拍腦袋的猜測(cè)而是可度量、可強(qiáng)制、可復(fù)盤的過程。深入閱讀OS 版本報(bào)告 REST API 完整參數(shù)與響應(yīng)示例docs/REST API/rest-api.mdOS 更新強(qiáng)制策略的 YAML 配置詳解docs/Configuration/yaml-files.mdAppleOSUpdateSettings配置結(jié)構(gòu)與校驗(yàn)邏輯源碼server/fleet/app.goOS 版本列表/詳情端點(diǎn)的服務(wù)端實(shí)現(xiàn)server/service/hosts.goOS 版本聚合數(shù)據(jù)結(jié)構(gòu)定義server/fleet/hosts.go【免費(fèi)下載鏈接】fleetOpen device management項(xiàng)目地址: https://gitcode.com/GitHub_Trending/fl/fleet創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考