WhatsApp zero click ranjivost

Sažetak
‍
WhatsApp je objavio hitnu nadogradnju za zero-click ranjivost označenu kao CVE-2025-55177. Ovaj propust omogućava zlonamjernom napadaču da bez interakcije žrtve iskoristi manipulirane sinkronizacijske poruke za povezani uređaj, čime može prikazati sadržaj s neoprezne adrese te aktivirati izvršavanje kôda ili payload na iOS/macOS uređajima. Ranjivost je, u kombinaciji s Apple-ovim CVE-2025-43300, iskorištena u sofisticiranim napadima na određene korisnike

Detalji
‍
Ranjivost CVE-2025-55177 nastaje zbog neadekvatne autorizacije poruka za sinkronizaciju povezanih uređaja (linked device sync). Zlonamjerni napadač može iskoristiti nespravno odobren sadržaj poruka kako bi poslao URL na kojem se nalazi maliciozni sadržaj. Čak bez interakcije korisnika, sadržaj iz proizvoljne adrese može biti procesuiran od strane WhatsApp aplikacije na ciljanom uređaju, što otvara put zlonamjernom izvršavanju koda ili payloada.

Najkritičnije, ova ranjivost ne zahtijeva nikakvu radnju korisnika poput klika ili otvaranja bilješke; dovoljno je samo primanje poruke. U kombinaciji s Apple-ovom ranjivošću u ImageIO-u (CVE-2025-43300), napadači su u mogućnosti lancirati sofisticirane "zero click" napade koji ciljaju iOS i macOS uređaje. Takvi se napadi koriste za kompromitiranje uređaja visoko ranjivim korisnicima poput novinara, aktivista i disidenata, pri čemu meta-grupa bira ciljane žrtve, često bez obavijesti.

WhatsApp je potvrdio da je u proteklih 90 dana poslao upozorenja manjim skupinama korisnika koji su vjerojatno bili ciljani sofisticiranom kampanjom špijunskog softvera. U hitnom reagiranju, korisnicima je sugerirano da inicijalno ažuriraju aplikaciju i operativni sustav, a u slučaju indikatora kompromitacije, razmotre vraćanje uređaja na tvorničke postavke.

Preporuke
‍
Za zaštitu od ove vrste napada preporučuje se:
‍
• Odmah ažurirati WhatsApp apps na:
• WhatsApp za iOS: verzija 2.25.21.73 ili novija
• WhatsApp Business za iOS: verzija 2.25.21.78 ili novija
• WhatsApp za Mac: verzija 2.25.21.78 ili novija
• Također je neophodno ažurirati i operacijski sustav: iOS, iPadOS i macOS s ispravkom za Apple-ovu ranjivost CVE-2025-43300.
• Ako korisnik prima obavijest da je bio ciljan, preporučuje se vraćanje uređaja na tvorničke postavke, uz prethodnu izradu sigurne sigurnosne kopije podataka.
‍

Reference
‍
• https://nvd.nist.gov/vuln/detail/CVE-2025-55177
‍• https://nvd.nist.gov/vuln/detail/CVE-2025-43300
‍• https://www.bleepingcomputer.com/news/security/whatsapp-patches-vulnerability-exploited-in-zero-day-attacks/
‍• https://cybernews.com/cybercrime/whatsap