新闻
iOS 设备再次出现 MDM 管理绕过风险，企业如何加强防护？
iOS 设备再次出现 MDM 管理绕过风险，企业如何加强防护？
手机交付时，管理描述文件正常、后台连接正常，是否就意味着设备在后续使用中始终受控？
对手机租赁商和企业设备管理者而言，新的漏洞利用方式，让这个问题值得重新检查。
近期公开的 Filza-wq 项目，将已有的沙盒逃逸技术封装进文件管理工具。根据作者说明，它能够在特定条件下访问部分通常受限的系统容器，包括配置描述文件相关目录。来源：Filza-wq 项目说明
结合我们的实测，**在涉及 iOS 27.0 至 iOS 27.3 beta 3 的已测设备与系统环境中，复现了通过移除管理描述文件绕过 MDM 管理的现象。**该结论仅针对本次已测样本，不代表这一版本区间内的所有机型、系统构建及 MDM 部署方式均已验证。
**针对该类利用路径，MDM.Plus 防绕锁 2.0 提供针对性防护功能。**企业可结合设备适配情况与部署条件，将其纳入设备交付和在用管理流程。
一、这次风险与普通文件访问有什么不同？
沙盒是 iOS 对应用访问范围设置的重要边界。普通应用通常不能随意触及系统管理区域；当部分访问限制被突破，涉及设备管理的本地文件就可能面临额外风险。
Filza-wq 作者说明，该项目使用了公开的 worse_query 技术，并非原创漏洞发现。其公开说明列出的测试环境与我们开展测试的环境，应分别理解，不能将我方实测范围当作项目作者的原始结论。来源：Filza-wq 项目说明
结合对相关 worse_query 安装包的初步分析，样本涉及系统容器管理与沙盒扩展授权机制，其设计目标包括访问配置描述文件存储区域。样本还包含读取自身 App Groups 权限信息的逻辑，说明签名及相应权限配置是分析利用条件时需要关注的因素。
这里需要区分两类证据：
安装包初步分析： 支持判断工具的目标与设计路径。
设备实测： 用于确认实际访问能力，以及描述文件移除后对管理状态的影响。
样本声明的最低系统版本，也不能直接作为漏洞已经验证的支持范围。
对于设备管理，关键是越权访问是否进一步影响管理状态。本次已测样本中的结果表明，相关利用可以通过移除管理描述文件绕过 MDM，因而需要从设备管理和资产运营角度评估。
这里的“绕过 MDM 管理”，不等同于解除苹果激活锁，也不代表设备在苹果服务器端的组织归属已经改变。
二、风险可能出现在设备交付之后
以租赁业务为例：设备交付时完成了管理配置，但使用一段时间后出现连接异常、管理指令无法执行等情况。运营人员既要排查网络和设备故障，也要核查是否存在管理状态被破坏的可能。
如果描述文件被移除并导致设备脱离原有管理，后续核查、履约沟通和资产回收可能变得更加困难。对企业配发手机，管理异常还可能影响既定的设备限制与配置要求。
这些是需要评估的业务风险，并不意味着设备离线就一定遭到了漏洞利用。判断设备是否脱管，应结合描述文件状态、后台连接与实际策略执行情况。
交付验收应检查设备是否已经纳管，也应检查针对已知绕过路径的防护是否生效。
三、MDM.Plus 防绕锁 2.0 的防护定位
针对此次公开技术涉及的管理绕过路径，MDM.Plus 防绕锁 2.0 提供相应防护，用于加强受支持设备抵御该类绕过尝试的能力。具体适用机型、系统版本及启用条件，需按设备实际情况核对。
对于租赁商和企业管理员，可将防绕锁 2.0 的适配检查、正确部署与生效验证纳入交付流程，并在系统升级或配置调整后重新核验。
这项产品防护针对相关利用路径，不替代苹果对 iOS 系统漏洞的修复，也不构成对其他攻击方式或未来系统版本的效果承诺。
已经出现管理异常的设备，应先确认当前状态，再评估可用的处置方案。
四、现有设备建议检查这四项
系统与部署情况
核对机型、系统完整版本、管理注册方式及现有防护配置，确定需要优先验证的设备。管理有效性
检查描述文件是否正常、设备是否能连接管理平台，以及相关策略能否实际执行。防护生效情况
确认防绕锁 2.0 的适配条件、部署状态，并在授权样机上进行效果验证。升级与交付流程
关注系统安全更新；升级前完成样机验证，交付时留存管理与防护状态记录。
五、企业关心的两个问题
未越狱的设备，是否也需要关注？
需要。Filza-wq 的公开定位即涉及未越狱设备上的受限目录访问。因此，“未越狱”不能单独作为管理状态不会被破坏的依据。实际影响仍需结合具体环境验证。来源：Filza-wq 项目说明
所有 iOS 27.0—27.3 beta 3 设备都会受影响吗？
不能作这样的推断。我们的结论限于本次已测样本，尚不能外推至所有机型、系统构建、签名条件和 MDM 部署方式。
让防绕过检查成为设备交付的一部分
从交付到在用，再到回收，企业需要持续确认设备管理是否有效。针对已公开、可复现的绕过路径提前开展验证，有助于识别现有管理方案需要补强的环节。
MDM.Plus 防绕锁 2.0，针对该类 MDM 管理绕过风险提供防护。
如需了解现有设备的适配条件、部署要求与验证方式，欢迎联系 MDM.Plus，开展设备防护评估。
信息来源与适用范围
本文技术背景参考 Filza-wq 项目说明，访问日期为 2026 年 11 月 9 日，以及我方《worse_query_轻松签.ipa 初步分析报告》（2026 年 11 月 9 日）。
漏洞复现结果来源于我方设备实测，仅针对本次测试样本及条件，不代表全机型、全版本或全部管理方案的结论。安装包初步分析与设备实测结论分别表述；样本元数据、符号及字符串不作为实际利用成功的独立证明。
产品防护适用范围需结合具体设备、系统版本及部署条件核对。本文为 MDM.Plus 产品推广与技术分析内容，不提供漏洞利用操作指引。
