Серия инцидентов, выявленных в Италии в мае 2026 года, показала, что аккаунты WhatsApp на iPhone могут быть скомпрометированы без каких-либо действий жертвы, таких как переход по ссылкам или предоставление кодов. Это дело было проанализировано INCIBE-CERT — испанским центром реагирования на инциденты кибербезопасности — и показало, что жертвы обнаружили, что их аккаунты отправляли сообщения недавним контактам с просьбами перевести деньги, хотя они сами не писали эти запросы. Затронутые устройства варьировались от iPhone 8 до iPhone 14 и объединяло использование различных версий iOS 16.
Судебное расследование связало инциденты с комбинацией двух уязвимостей. Первая, идентифицированная как CVE-2025-43300, затрагивала компонент ImageIO от Apple и позволяла обработке вредоносного файла изображения вызвать повреждение памяти. Apple подтвердила, что ей известно о сообщении о том, что уязвимость могла быть эксплуатирована в ходе чрезвычайно сложной атаки против конкретных лиц. Вторая уязвимость, CVE-2025-55177, затрагивала WhatsApp для iOS и позволяла другому пользователю инициировать обработку внешнего контента на устройстве жертвы.
Атака была особенно опасной, поскольку запрос денег исходил из настоящего аккаунта WhatsApp жертвы, а не от неизвестного номера, пытающегося его имитировать, что могло обмануть друзей или родственников. INCIBE отмечает, что точное использование двух уязвимостей для объяснения всех новых инцидентов является результатом судебного анализа, а не окончательно доказанной цепочкой атаки во всех случаях.
Основная мера защиты — обновить как операционную систему, так и приложение. iOS 16.7.12, выпущенный в сентябре 2025 года, исправил уязвимость Apple, а WhatsApp исправил свою уязвимость начиная с версии 2.25.21.73. Рекомендуется всегда устанавливать последнюю версию, совместимую с устройством. Проанализированные случаи были выявлены в Италии и не означают, что все пользователи iPhone подвергаются атакам такого типа, но они демонстрируют, что аккаунт может быть скомпрометирован без традиционного перехода по ссылке.
