ווטסאפ הפיצה הטלאות נגד ניצול של פגיעות במכשירי iOS ו-macOS

מסע תקיפה מתוחכם מינף פגיעות יום אפס שלא הייתה ידועה בעבר בווטסאפ במכשירי אפל, כדי לתקוף באופן ממוקד משתמשים ספציפיים, כך אישרה ענקית המסרים המיידיים.

ווטסאפ תיקנה פגיעות אבטחה באפליקציות המסרים שלה עבור מכשירי iOS ו-macOS. לפי ענקית המסרים המיידיים, ייתכן שהפגיעות כבר נוצלה לבדה, או בשילוב עם חולשה של אפל שנחשפה באחרונה במתקפות "יום אפס" ממוקדות.

המתקפה ניצלה שרשרת של פגיעויות כדי לקבל גישה למכשירי יעד. נקודת הכניסה הראשונית הייתה דרך ווטסאפ ב-iOS וב-macOS.

הפגיעות, CVE-2025-55177, שסומנה בדרגת חומרה 8.8,  מתייחסת למקרה של הרשאה, שאינה מספקת, של הודעות סנכרון בין מכשירים מקושרים. חוקרי ווטסאפ הם שגילו את הבאג. לפיהם, "הבעיה יכולה לאפשר למשתמשים להפעיל עיבוד תוכן מכתובת אתר שרירותית – במכשיר של היעד".

הפגמים השפיעו על שלוש מהגרסאות של ווטסאפ, ותוקנו ב-28 ביולי וב-4 באוגוסט. החוקרים העריכו כי ייתכן שהחולשה קשורה גם ל-CVE-2025-43300, פגיעות המשפיעה על iOS, iPadOS ו-macOS, כחלק מהתקפה מתוחכמת נגד משתמשים ממוקדים ספציפיים.

פגיעות זו, CVE-2025-43300, נחשפה על ידי אפל באחרונה, והיא תיארה אותה כ"כלי נשק המשמש התקפה מתוחכמת ביותר נגד אנשים ממוקדים ספציפיים". פגיעות זו היא "פגיעות כתיבה מחוץ לתחום במסגרת ImageIO", העלולה לגרום לפגיעה בזיכרון בעת עיבוד תמונה זדונית.

אנשי אמנסטי אינטרנשיונל מסרו, כי ווטסאפ הודיעה למספר – לא מוגדר – של אנשים, כי לפי דעתם, הם היו מטרה לקמפיין רוגלה מתקדם ב-90 הימים האחרונים באמצעות CVE-2025-55177.

בהתראה שנשלחה, המליצה ווטסאפ גם לבצע איפוס מלא להגדרות היצרן של המכשיר ולשמור על מערכת ההפעלה ואפליקצייתווטסאפ מעודכנות להגנה מיטבית. לא ידוע מי ספק הרוגלות העומד מאחורי המתקפות.

לפי אנשי אמנסטי, "צמד הפגיעויות הוא מסוג מתקפת 'אפס קליק', כלומר הן אינן דורשות כל אינטראקציה של המשתמש, כגון לחיצה על קישור, כדי שהמתקפה תצלח".

עוד ציינו באמנסטי אינטרנשיונל, כי "אינדיקציות מוקדמות מצביעות על כך שהמתקפה של ווטסאפ משפיעה הן על משתמשי iPhone והן על משתמשי אנדרואיד, בהם פעילי החברה האזרחית. רוגלות ממשלתיות ממשיכות להוות איום על עיתונאים ומגיני זכויות אדם".

ווטסאפ עדכנה כי שלחה התראות על איומים בתוך האפליקציה ליותר מ-200 משתמשים.

CISA, הסוכנות האמריקנית לאבטחת סייבר ותשתיות, הוסיפה את הפגיעות לקטלוג האיומים הידועים שלה.