Apple先前表示已在 2026 年 7 月 3 日修补 iCloud+ 内「隐藏我的电子邮件」漏洞，但在 7 月 17 日测试时，仍成功重现问题。 这代表用户通过「隐藏我的电子邮件」隐藏的真实电子邮件地址，当时可能还有被揭露的风险。
更值得注意的是，另一名开发者也发现 Mac Mail 存在独立问题，可能让回信时意外暴露绑定苹果账号的信箱地址，也就是你自己的个人电子邮件。
如果你有长期使用「隐藏我的电子邮件」注册网站、订阅服务或收发促销信，这件事仍值得留意。
Apple 说已修补「隐藏电子邮件」Bug，但 2 周后仍被验证成功
iCloud+ 的「隐藏我的电子邮件」功能会替用户建立一组转发的信箱地址，让你在网站、App 或服务注册时，不必直接提供自己的真实电子邮件地址。
不过根据报导，只要发件人手上已经持有你所生成的那组「隐藏我的电子邮件」，就可能用不高的技术门槛，反查出背后对应的真实信箱。 Apple曾向404 Media表示，已在2026年7月3日部署修补程序，并称漏洞已完整解决; 但AppleInsider在7月17日实测时，依然成功重现相同行为。
研究人员指出，这类漏洞回报其实已经和苹果沟通将近一年。 EasyOptOuts 共同创办人 Tyler Murphy 与 Ben Weiner 表示，Apple 曾在 3 月 3 日与 6 月 30 日宣称修好相关问题，但之后仍可再次重现。 虽然目前表示在7月17日之后已无法再次重现，代表漏洞可能真的已经被封堵，但苹果至今仍未清楚说明，7月3日究竟是修补开始部署的日期，还是全面完成的时间点。
实际影响多大？ 旧别名绑定的真实信箱要提高警觉
从目前信息来看，这个「隐藏我的电子邮件」漏洞并不代表所有用户都一定受害，也没有公开证据显示出现大规模滥用。
因为攻击者首先得先知道你通过「隐藏我的电子邮件」功能产生出来的那组 Email 信箱后，才能针对该 Mail 下手，而且每个 Mail 都得个别处理，无法一次性大规模扫描。
但风险仍然存在。 研究团队提醒，若真实信箱曾绑定在 2026 年 7 月 7 日之前建立的「隐藏我的电子邮件」上，这些地址应视为可能已曝光。 原因是就算苹果后续完成修补，先前被退信或处理过的邮件信息，仍可能保留在第三方邮件服务的纪录或log中。对一般用户来说，现阶段不需要急着全面停用「隐藏我的电子邮件」，因为已知影响主要集中在隐私匿名性，而非帐号控制权或登入安全。
Mac Mail App 也可能在回信时暴露苹果帐号信箱
除了隐藏我的电子邮件本身的漏洞，开发者Jeff Johnson也在7月19日揭露另一个与Mac Mail有关的隐私问题。 根据他的测试，只要攻击者在邮件头中加入特制的 X-Icloud-Hme 信息，Mail App 接口就可能误判这封信是经由「隐藏我的电子邮件」转发，甚至在回复窗口中显示误导性的寄件身份。
▼ 在 Johnson 的测试中，特制的 X-Icloud-Hme 头足以触发 Mac Mail 错误
更麻烦的是，用户看到的「发件人」信息，可能和实际送出的信箱不同。
Johnson表示，Mac Mail 在某些情况下会让回信从绑定 Apple 帐号的电子邮件地址送出，导致真实地址曝光，而用户在画面上未必能获得足够明确的警告。这个问题的影响范围甚至比「隐藏我的电子邮件」用户更广。 因为 Johnson 表示自己没有使用「隐藏我的电子邮件」，也没有 iCloud.com 信箱，但只要在 Mac Mail 中整合了个人、工作与苹果帐号相关信箱，仍可能受到影响。 目前还不清楚哪些 macOS 版本会中招，也没有证据显示 iPhone 或 iPad 上的 Mail 是否同样存在相同行为。
总结：这是隐私警讯，但还不到全面停用
综合目前已知信息，这次事件显示苹果在「隐藏我的电子邮件」与 Mail 隐私保护上，确实出现过值得警惕的漏洞与设计问题。 好消息是，现有报道没有指出大规模攻击、帐号遭接管，或收件箱内容外泄; 坏消息是，部分较早建立的「隐藏我的电子邮件」Mail，背后绑定的真实信箱仍可能已被第三方掌握。
如果你是「隐藏我的电子邮件」或 Mac Mail 的重度用户，现阶段最务实的做法，是检查哪些重要服务仍绑定旧的「隐藏我的电子邮件」所生成的 Mail、避免直接回覆来路不明的信件，并留意苹果后续是否针对修补时间与受影响范围做更完整说明。
