Мессенджер WhatsApp получил срочное обновление, устраняющее уязвимость нулевого дня CVE-2025-55177 в версиях для iOS и macOS. Брешь позволяла атакующему отправить жертве специально сформированное сообщение, после чего приложение без участия пользователя открывало произвольный URL. В связке с ранее исправленным системным багом Apple CVE-2025-43300 это давало возможность незаметно установить шпионское ПО и получить доступ к переписке, файлам и микрофону устройства.
Компания Meta, которой принадлежит мессенджер, подтвердила, что атаки были узконаправленными: уведомления о возможном компрометации получили менее 200 человек. По словам руководителя Security Lab Amnesty International Доннча Кервейла, речь идёт о попытках слежки за конкретными пользователями в последние 90 дней. WhatsApp заблокировал способ доставки эксплойта, однако сама операционная система могла остаться заражённой, поэтому эксперт рекомендует выполнить полный сброс iPhone или Mac до заводских настроек и установить актуальные версии iOS, macOS и всех приложений.
Это уже второй случай за год, когда в WhatsApp закрывают эксплойт нулевого дня: в марте латали дыру, через которую распространялся шпион Graphite от Paragon. Повторяющиеся атаки подчёркивают важность своевременного обновления мессенджера и ОС, тем более что после раскрытия деталей вероятность массового злоупотребления возрастает. Apple и Meta выпустили патчи одновременно, но пользователи, откладывающие установку, по-прежнему рискуют.
WhatsApp остаётся одним из самых популярных сервисов мгновенных сообщений: им пользуются свыше 2 млрд человек в 180+ странах, а все чаты защищены сквозным шифрованием. Однако любая система безопасна ровно настолько, насколько быстро на ней устанавливаются обновления, поэтому после выхода патча CVE-2025-55177 владельцам iPhone и Mac стоит потратить несколько минут на проверку новых версий.