WhatsApp dicht lek gebruikt om Apple-gebruikers met spyware te infecteren
WhatsApp heeft een kwetsbaarheid in de chatapp gedicht die actief is misbruikt om Apple-gebruikers met spyware te infecteren. Het ging hierbij om een zogenoemde zeroclick-aanval, waarbij er geen enkele interactie van het slachtoffer is vereist om die met spyware te infecteren, zo laat Donncha Ó Cearbhaill weten, hoofd van het Security Lab van Amnesty International. De aanvaller hoefde alleen een bericht naar slachtoffers te sturen. WhatsApp adviseert slachtoffers in een waarschuwing dat het verstandig is een fabrieksreset uit te voeren.
De kwetsbaarheid (CVE-2025-55177) is aanwezig in WhatsApp voor iOS voor versie 2.25.21.73, WhatsApp Business voor iOS voor versie 2.25.21.78 en WhatsApp voor Mac voor versie 2.25.21.78. Volgens de uitleg van WhatsApp zorgt een onvolledige autorisatie van gekoppelde "device synchronization messages" ervoor dat een ongerelateerde gebruiker op het apparaat van het slachtoffer content van een willekeurige URL kan uitvoeren.
Het beveiligingslek is volgens WhatsApp gecombineerd met een kwetsbaarheid in het Image I/O framework van iOS en macOS. Apple kwam vorige week met beveiligingsupdates voor dit beveiligingslek, aangeduid als CVE-2025-43300. De kwetsbaarheid zou sinds eind mei bij aanvallen zijn ingezet. Meta laat tegenover TechCrunch weten dat het "minder dan 200" waarschuwingen aan getroffen WhatsApp-gebruikers heeft gestuurd.
In de waarschuwing staat onder andere dat WhatsApp maatregelen heeft getroffen, maar dat al besmette systemen door de malware gecompromitteerd kunnen blijven of op andere manieren kunnen worden aangevallen. Slachtoffers krijgen het advies van WhatsApp om een fabrieksreset van hun apparaat uit te voeren. Met welke spyware slachtoffers werden geïnfecteerd is niet bekendgemaakt.
De bekende spyware-onderzoeker John Scott-Railton van het Canadese Citizen Lab laat in een reactie op de kwetsbaarheid weten dat het combineren van iOS/macOS-kwetsbaarheden met een WhatsApp-lek aantoont dat het steeds complexer wordt om zeroclick-aanvallen uit te voeren. Toch zullen ze niet verdwijnen, omdat overheden een "onverzadigbare honger" hebben om systemen te compromitteren, aldus de onderzoeker.
Iedereen die een waarschuwing krijgt moet een reset doen.
Hoe ziet dat bericht eruit? Afzender, inhoud?
"zucht van verlichting slaakt"
Je kunt je Iphone gewoon in Lockdown Mode gebruiken in combinatie met Whatsapp. Dat werkt een hoop zerodays tegen, en smut in het algemeen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Ervaren Chief Information Security Officer (CISO)
Provincie Noord-Holland
Ben jij een ervaren CISO? En wil jij jouw kennis in een andere organisatie delen? Help ons dan onze informatieveiligheid verder te vergroten. Als CISO speel je een sleutelrol in het veilig houden van gegevens en systemen die essentieel zijn voor een leefbare, veilige en duurzame provincie.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?