WhatsApp усунув вразливість ‘нульового кліку’, яка використовувалась для зловмисного доступу до користувачів Apple через шпигунське ПЗ

WhatsApp оголосив, що йому вдалося виправити вразливість у своїх додатках для iOS та Mac, яка використовувалася для таємного зламу певних цільових користувачів.

Цей популярний месенджер, що належить Meta, повідомив у своєму звіті про безпеку, що усунув вразливість, відому як CVE-2025-55177. Ця вразливість була використана у зв’язці з іншою проблемою в iOS та Mac, яку Apple виправила минулого тижня і зареєструвала під номером CVE-2025-43300.

Apple повідомила, що ця вразливість була використана в “надзвичайно складній атаці на конкретно цільові особи”. Тепер стало відомо, що десятки користувачів WhatsApp стали жертвами цієї пари вразливостей.

Доннха О’Кервал, керівник лабораторії безпеки Amnesty International, описав цю атаку в пості як “сучасну кампанію шпигунського програмного забезпечення”, яка тривала останні 90 днів, починаючи з кінця травня. О’Кервал охарактеризував ці дві вразливості як “атака без кліків”, що означає, що жертві не потрібно взаємодіяти, наприклад, натискати на посилання, щоб її пристрій було скомпрометовано.

Ці дві уразливості дозволяють зловмиснику передати шкідливий експлойт через WhatsApp, який здатний красти дані з Apple-пристрою користувача.

Згідно з О’Кервалом, який опублікував копію повідомлення про загрозу, яке WhatsApp надіслав постраждалим користувачам, атака змогла “скампрометувати ваш пристрій та дані, що зберігаються на ньому, включаючи повідомлення.”

На даний момент неясно, хто стоїть за цими атаками або який постачальник шпигунського програмного забезпечення причетний до них.

Як повідомила TechCrunch речниця Meta Маргарита Франклін, компанія виявила та виправила вразливість “кілька тижнів тому” і надіслала “менше ніж 200” повідомлень постраждалим користувачам WhatsApp.

Речниця не уточнила, чи є у WhatsApp докази, які б вказували на конкретного зловмисника чи постачальника шпигунського програмного забезпечення.

Це не перший випадок, коли користувачі WhatsApp стали мішенню для урядового шпигунського програмного забезпечення, здатного проникати в повністю оновлені пристрої з вразливостями, які не відомі постачальнику, відомими як нульові дні.

У травні суд США зобов’язав виробника шпигунського програмного забезпечення NSO Group виплатити WhatsApp 167 мільйонів доларів компенсації за кампанію хакерів 2019 року, яка проникла у пристрої понад 1400 користувачів WhatsApp, використовуючи експлойт, який міг впроваджувати шпигунське програмне забезпечення Pegasus від NSO. WhatsApp подав позов проти NSO, посилаючись на порушення федеральних та державних законів про хакерство, а також своїх умов використання.

Раніше цього року WhatsApp зірвав кампанію шпигунства, у якій постраждало близько 90 користувачів, включаючи журналістів та членів громадянського суспільства в Італії. Італійський уряд заперечив свою причетність до цієї кампанії шпигунства. Paragon, чий інструмент шпигунства був використаний в кампанії, пізніше припинив надання своїх інструментів хакування Італії у зв’язку з нерозслідуванням випадків зловживань.

Ви отримали сповіщення про те, що ваш пристрій було скомпрометовано? Зв’яжіться з цим журналістом безпечно через користувача zackwhittaker.1337 у Signal.