WhatsApp a lansat o actualizare pentru o vulnerabilitate zero-click pe iOS și macOS
WhatsApp a lansat o actualizare critică pentru aplicațiile sale de iOS și macOS, menită să repare o vulnerabilitate de tip zero-click (CVE-2025-55177) descoperită chiar de echipa sa de securitate internă. Problema era legată de mecanismul de sincronizare a dispozitivelor conectate (linked devices) și putea permite unui atacator să compromită telefonul sau laptopul fără ca utilizatorul să facă vreo acțiune, să acceseze un link sau să introducă vreun cod.
Cum funcționa vulnerabilitatea CVE-2025-55177 în WhatsApp
Problema era că WhatsApp nu verifica suficient de bine mesajele trimise între dispozitivele conectate la același cont. Cum aplicația permite folosirea până la patru dispozitive în paralel, un atacator putea profita de acest mecanism pentru a trimite mesaje falsificate și a forța aplicația să proceseze conținut malițios. Din păcate, în sursele oficiale nu există o explicație mai tehnică. Cel mai probabil, dezvoltatorii au preferat să nu ofere un „manual de atac”, pentru a nu da idei și altor hackeri.
Au fost afectate toate versiunile WhatsApp pentru iOS până la 2.25.21.73, WhatsApp Business pentru iOS până la 2.25.21.78 și WhatsApp pentru Mac până la 2.25.21.78.
Legătura cu vulnerabilitatea Apple
Ceea ce a făcut vulnerabilitatea și mai periculoasă a fost combinația cu o altă problemă raportată recent de Apple, CVE-2025-43300. Această vulnerabilitate era prezentă în iPhone, iPad și Mac și ținea de modul în care sistemul procesa imaginile.
Dacă cineva trimitea o imagine infectată cu malware, aceasta putea păcăli sistemul și corupe memoria RAM a dispozitivului, creând o portiță prin care atacatorul putea prelua controlul. Împreună, cele două erori puteau fi folosite într-un atac zero-click extrem de sofisticat, fără să fie nevoie ca victima să apese pe vreun link.
Cine a fost vizat
Potrivit lui Donncha Ó Cearbhaill, șeful Security Lab de la Amnesty International, WhatsApp a trimis deja notificări unui număr de persoane pe care le-a considerat ținte ale unei campanii avansate de spyware desfășurată în ultimele 90 de zile. Printre cei afectați s-ar fi numărat inclusiv jurnaliști și activiști ai societății civile, categorie vizată frecvent de instrumente de spionaj guvernamentale.
Pe X, Ó Cearbhaill a descris atacul drept o dovadă că „spyware-ul guvernamental continuă să reprezinte o amenințare pentru jurnaliști și apărătorii drepturilor omului”.
Recomandările WhatsApp
În mesajele trimise utilizatorilor considerați vulnerabili, WhatsApp a sugerat măsuri drastice: resetarea dispozitivului (factory reset), instalarea celor mai noi versiuni ale sistemului de operare și, evident, actualizarea aplicației WhatsApp. Chiar dacă update-ul a blocat exploitul prin WhatsApp, compania a avertizat că sistemul de operare ar putea rămâne compromis în alte moduri dacă malware-ul a apucat să se instaleze.
Chiar și aplicațiile mainstream precum WhatsApp, folosite zilnic de miliarde de oameni și sprijinite de echipe uriașe de securitate, pot ascunde vulnerabilități critice. Oricât de mulți bani ar investi companiile în protecție, zero-day-urile și atacurile de tip zero-click arată că riscul nu dispare complet. Totuși, pericolul real nu îi vizează pe utilizatorii obișnuiți, care vorbesc cu colegii, prietenii sau familia, ci pe cei aflați în vizorul unor campanii sofisticate (jurnaliști, activiști sau opozanți politici), caz în care spyware-ul guvernamental devine o armă de supraveghere și control.
