Directoratul Național de Securitate Cibernetică (DNSC) avertizează asupra unor atacuri extrem de periculoase, care exploatează două vulnerabilități critice pentru a lansa atacuri de tip zero-click, capabile să compromită dispozitive fără nicio interacțiune din partea utilizatorului.

Atacatorii folosesc aplicația WhatsApp pentru a forța descărcarea unei imagini de tip DNG de pe un server controlat de ei.

În momentul în care aplicația încearcă să genereze o previzualizare a fișierului, componenta ImageIO din iOS/macOS întâlnește date special construite, ceea ce produce coruperea memoriei și permite rularea de cod malițios. Astfel, atacatorii pot instala spyware și obține acces la datele sensibile, cameră sau microfon.

Un atac de tip zero-click poate compromite un dispozitiv fără ca utilizatorul să fie nevoit să dea click, să deschidă un atașament sau să accepte permisiuni. Tocmai această lipsă de interacțiune face ca astfel de atacuri să fie extrem de periculoase și greu de detectat.

Vulnerabilitățile exploatate

CVE-2025-55177 – o problemă de tip incomplete authorization, prin care WhatsApp poate procesa conținut dintr-un URL arbitrar, fără verificări corecte.

CVE-2025-43300 – o vulnerabilitate out-of-bounds write în ImageIO (iOS, iPadOS, macOS), ce permite executarea de cod de la distanță.

Prin combinarea celor două, atacatorii reușesc să trimită fișiere DNG malițioase, care sunt procesate automat de dispozitiv, ducând la compromiterea acestuia.

Produse și versiuni afectate

WhatsApp pentru iOS: versiunile înainte de 2.25.21.73.

WhatsApp Business pentru iOS: versiunile înainte de 2.25.21.78.

WhatsApp pentru macOS: versiunile înainte de 2.25.21.78.

Apple iOS/iPadOS: versiunile înainte de 16.7.

macOS: versiunile înainte de Sonoma 14.7.8, Ventura 13.7.8, Sequoia 15.6.1.

Recomandări DNSC

Actualizați imediat aplicațiile WhatsApp și WhatsApp Business la cele mai recente versiuni.

De asemenea, instalați toate actualizările disponibile pentru iOS, iPadOS și macOS și urmăriți alertele de securitate oficiale și tratați cu seriozitate notificările privind siguranța contului sau aplicațiilor.

Nu în ultimul rând, mențineți o bună igienă digitală și informați-vă constant despre tipurile de atacuri cibernetice în trend.

„Exploatarea CVE-2025-55177 împreună cu CVE-2025-43300 descrie perfect modelul atacurilor sofisticate: folosirea unei aplicații populare drept vector de livrare, coroborată cu o vulnerabilitate a sistemului de operare. Actualizarea promptă a aplicațiilor și a sistemelor rămâne cea mai eficientă și indispensabilă măsură de protecție”, subliniază DNSC.