Błąd w przetwarzaniu zdjęć z linków iCloud w systemach Apple posłużył do cichej instalacji oprogramowania szpiegującego. CISA potwierdza ataki. Zaktualizuj urządzenia, zaczynając od zarządu.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy, a zwłaszcza kadra zarządzająca, używają iPhone'ów, iPadów, komputerów Mac, Apple Watch lub Apple Vision Pro. Werdykt: jeśli urządzenie ma system starszy niż iOS 18.3.1 (lub odpowiednia wersja z listy w sekcji 1), zaktualizuj je dziś, bo luka była użyta w atakach szpiegowskich wymierzonych w wybrane osoby, a niska ocena punktowa nie oddaje ryzyka dla osób na kluczowych stanowiskach.
Amerykańska agencja CISA 16 czerwca 2025 roku dopisała podatność CVE-2025-43200 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd logiki w przetwarzaniu specjalnie przygotowanego zdjęcia lub filmu udostępnionego przez link iCloud (w komponencie Wiadomości). Apple pisze, że zna raport o wykorzystaniu luki w „wyjątkowo wyrafinowanym ataku na konkretne osoby”.
Poprawkę w iOS 18.3.1 Apple wydało już 10 lutego 2025 roku, a informację o tej luce dopisało do biuletynu dopiero 11 czerwca 2025 roku. Dzień później badacze Citizen Lab opisali, że luka posłużyła do zainstalowania oprogramowania szpiegującego Graphite firmy Paragon na telefonach dziennikarzy w Europie. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 7 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-43200 |
Data dodania do CISA KEV | 2025-06-16 |
Termin naprawy wg CISA | 2025-07-07 |
Produkt | Apple iOS, iPadOS, macOS, watchOS, visionOS (w katalogu CISA: „Apple Multiple Products”) |
Wersje zagrożone | iOS i iPadOS starsze niż 15.8.4, 16.7.11 (linia 16), 17.7.5 (iPadOS 17), 18.3.1 (linia 18); macOS Ventura starszy niż 13.7.4, Sonoma starszy niż 14.7.4, Sequoia starszy niż 15.3.1; visionOS starszy niż 2.3.1; watchOS starszy niż 11.3.1 |
Wersje bezpieczne | iOS i iPadOS 15.8.4, 16.7.11, 18.3.1; iPadOS 17.7.5; macOS Sequoia 15.3.1, Sonoma 14.7.4, Ventura 13.7.4; visionOS 2.3.1; watchOS 11.3.1 oraz wszystkie nowsze. Najnowsze wydanie jest dostępne w ustawieniach urządzenia |
Typ podatności | Błąd logiki przy przetwarzaniu multimediów z linku iCloud; brak przypisanej klasy CWE (NVD i CISA nie podały) |
Ocena CVSS | CISA: 4.2 (CVSS 3.1, ŚREDNIA; zakłada trudny atak wymagający działania użytkownika). Apple i NVD nie podały własnej oceny |
Uwaga dla działu IT: w NVD zakresy wersji iOS zapisano tak, że wersje z poprawką formalnie wyglądają na podatne, więc narzędzia zgodności mogą zgłaszać fałszywe alarmy. Pewniej jest porównać numer z listy powyżej z numerem w ustawieniach urządzenia.
Wyobraź sobie automat pocztowy, który skanuje etykietę na przesyłce, żeby wyświetlić nadawcę. Etykieta miała być tylko do odczytu, więc nikt nie przewidział, że da się na niej umieścić coś, co automat uzna za polecenie serwisowe. Urządzenie nie jest zepsute: robi dokładnie to, co umie, ale na wejściu przygotowanym przez kogoś, kto znał tę słabość.
Tak działał błąd w urządzeniach Apple. Zdjęcie lub film udostępnione przez link iCloud było przetwarzane w sposób, który pozwalał napastnikowi wywołać działania nieprzewidziane przez producenta. Ocena CISA zakłada, że ofiara musi coś zrobić. Citizen Lab opisuje jednak atak na dziennikarzy jako „zero-click” przez iMessage, czyli bez żadnego działania ofiary, a Apple potwierdziło badaczom, że ten atak został zablokowany w iOS 18.3.1. W praktyce trzeba zakładać, że osoba będąca celem mogła niczego nie zauważyć.
💡 iCloud to chmura Apple, przez którą można udostępniać zdjęcia i filmy linkiem. iMessage to komunikator wbudowany w urządzenia Apple. Zero-click oznacza atak, który nie wymaga kliknięcia ani otwarcia czegokolwiek przez ofiarę. Oprogramowanie szpiegujące (spyware) to program po cichu wykradający wiadomości, kontakty, lokalizację i dźwięk z urządzenia. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Na telefon przychodzi wiadomość ze zdjęciem z iCloud | Zdjęcie się wyświetla | Przygotowane zdjęcie może uruchomić atak |
Działanie wymagane od ofiary | Kliknięcie lub otwarcie pliku | Wg Citizen Lab w opisanych atakach żadne |
Poufne rozmowy i wiadomości zarządu | Dostępne tylko właścicielowi telefonu | Mogą trafić do operatora oprogramowania szpiegującego |
Ocena punktowa luki | Pomaga ustalić pilność | 4.2 zaniża realne ryzyko dla osób wybranych na cel |
Starszy iPhone lub Mac | Wydaje się bez szans na poprawki | Poprawki wyszły także dla starszych linii systemu |
źródło: Pexels, Annushka AhujaPoniżej typowy przebieg ataku dopasowany do opisu Citizen Lab. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako niemożliwy do zautomatyzowania: to operacje prowadzone ręcznie przeciw wybranym osobom, a nie masowe kampanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Ustalenie numeru telefonu lub konta iMessage konkretnej osoby | Cel imienny |
2. Wysłanie przesyłki | T+minuty | Wysłanie przez iMessage spreparowanego zdjęcia lub filmu z linku iCloud | Przesyłka na urządzeniu ofiary |
3. Wykorzystanie luki | T+sekundy | Przetworzenie przesyłki przez podatny system, bez widocznych objawów | Kod napastnika na urządzeniu |
4. Instalacja szpiega | T+minuty | Instalacja oprogramowania szpiegującego (w opisanych przypadkach Graphite) i połączenie z serwerem napastnika | Stała inwigilacja |
5. Zbieranie danych | T+dni do tygodni | Odczyt wiadomości, kontaktów, kalendarza, komunikatorów | Wiedza o negocjacjach, planach, kontaktach |
6. Wykorzystanie wiedzy | T+tygodnie | Użycie informacji w sporze, negocjacjach lub do dalszych ataków | Szkoda biznesowa lub osobista |
Mogę Ci jakoś pomóc?
Ocena 4.2 opisuje mechanikę pojedynczego zdarzenia, a nie wartość danych na konkretnym urządzeniu. Dla większości pracowników ryzyko jest niskie, ale dla osób prowadzących negocjacje, spory czy transakcje, a także dla dziennikarzy i osób publicznych, skutki podsłuchu telefonu mogą być poważniejsze niż przejęcie serwera plików.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność wymiany lub odtworzenia urządzeń, zmiany haseł i kont | Dni | 5 tys. do 50 tys. PLN (sprzęt, praca IT) |
Bezpieczeństwo danych | Wyciek wiadomości, kontaktów, kalendarza, dokumentów z telefonu | Dni do tygodni (ciche) | 20 tys. do 200 tys. PLN (analiza śledcza urządzeń, obsługa incydentu) |
Finansowy | Przegrane negocjacje lub spór przez ujawnioną strategię | Tygodnie do miesięcy | 50 tys. do 1 mln PLN (zależnie od stawki sprawy) |
Reputacyjny | Ujawnienie poufnych rozmów z klientami i partnerami | Miesiące | 30 tys. do 300 tys. PLN (utracone relacje) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); naruszenie tajemnicy przedsiębiorstwa lub zawodowej | 72 godziny od wykrycia | 10 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń Apple bez poprawki
Wpływ
5 | . . . . .
4 | . ■ . . . ← WYSOKIE (osoby na kluczowych stanowiskach)
3 | . . . . .
2 | □ . . . . ← NISKIE (typowy pracownik)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo ataku jest niskie, bo to operacje celowane, a nie masowe; wpływ zależy jednak od osoby: dla zarządu i osób prowadzących wrażliwe sprawy jest wysoki, dla typowego pracownika niski. Aktualizacja jest tania, więc warto ją wykonać na wszystkich urządzeniach.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić i zaktualizować system na telefonach i komputerach zarządu oraz osób prowadzących negocjacje i spory | Dziś | Dział IT / sami użytkownicy |
2 | 🟠 PILNIE | Spisać wszystkie urządzenia Apple w firmie (także prywatne używane służbowo) z wersją systemu | Do 3 dni | Dział IT |
3 | 🟠 PILNIE | Zaktualizować pozostałe urządzenia do wersji z poprawką lub nowszej w ich linii | Do 7 dni | Dział IT / użytkownicy |
4 | 🟠 PILNIE | Włączyć automatyczne aktualizacje systemu na urządzeniach służbowych | Do 7 dni | Dział IT |
5 | 🟡 WAŻNIE | Ustalić z działem IT, czy ktoś w firmie dostał od Apple powiadomienie o ataku z użyciem oprogramowania szpiegującego | Do 7 dni | CTO |
6 | 🟡 WAŻNIE | Dla osób wysokiego ryzyka rozważyć tryb blokady (Lockdown Mode) i wymianę urządzeń bez wsparcia | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić kwartalny przegląd wersji systemów na wszystkich urządzeniach mobilnych | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych linii systemów i nie wskazało żadnego obejścia. Jeśli urządzenie nie może dostać żadnej z wersji z poprawką, trzeba je wymienić. Poniższe miary to ocena ekspercka, a nie zalecenia producenta dla tej luki.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Tryb blokady Apple (Lockdown Mode) na urządzeniach osób wysokiego ryzyka | Średnia do wysokiej wobec ataków celowanych | Łatwa, ogranicza część funkcji wiadomości i przeglądarki |
Wymiana urządzeń, które nie mogą dostać wersji z poprawką | Wysoka | Kosztowna |
Prowadzenie najbardziej poufnych rozmów na zaktualizowanym, osobnym urządzeniu | Średnia | Średnia |
Regularne ponowne uruchamianie telefonu | Niska: może przerwać część ataków działających tylko w pamięci | Bardzo łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja systemu na urządzeniach zarządu | Nieznana, często nieaktualna | Wersja z poprawką lub nowsza, potwierdzona |
Spis urządzeń Apple | Brak | Aktualna lista z wersjami |
Aktualizacje | Ręczne, „kiedy będzie czas” | Automatyczne |
Osoby wysokiego ryzyka | Traktowane jak wszyscy | Dodatkowe zabezpieczenia, np. tryb blokady |
Zgodność z terminem CISA | Zaległość od 7 lipca 2025 roku, jeśli urządzenie nie ma poprawki (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: możliwe wykorzystanie w wyrafinowanym ataku na konkretne osoby. Ocena CISA: wykorzystanie aktywne, nieautomatyzowalne, skutek częściowy |
Grupy przestępcze | Wg Citizen Lab: operator oprogramowania szpiegującego Graphite firmy Paragon; celem byli dziennikarze w Europie, w tym włoski dziennikarz Ciro Pellegrino |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.2 ŚREDNIA (CVSS 3.1, CISA); Apple i NVD bez oceny |
PoC dostępny publicznie? | Brak publicznych informacji; Apple nie ujawniło szczegółów technicznych |
Liczba atakowanych osób | Brak pełnych danych; Citizen Lab potwierdził kryminalistycznie dwa przypadki |
Prognoza EPSS | Około 1% (wg analizy źródłowej); niska wartość typowa dla ataków celowanych |
Sygnały zagrożenia dla CVE-2025-43200
CVSS 3.1 (CISA) 4.2/10 ████████░░░░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~1% ░░░░░░░░░░░░░░░░░░░░ NISKA (celowane)
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak zero-click TAK ████████████████████ wg Citizen Lab
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2025-01/02 Wg Citizen Lab: telefon europejskiego dziennikarza
z iOS 18.2.1 zainfekowany oprogramowaniem Graphite
2025-02-10 Apple wydaje iOS i iPadOS 18.3.1 z poprawką
2025-04-29 Apple powiadamia wybranych użytkowników o atakach
2025-06-11 Apple dopisuje CVE-2025-43200 do biuletynów bezpieczeństwa
2025-06-12 Raport Citizen Lab o Paragon Graphite
2025-06-16 Publikacja CVE w NVD; CISA dodaje lukę do katalogu KEV
2025-07-07 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Apple dla iOS i iPadOS 18.3.1: support.apple.com/en-us/122174 . Pozostałe biuletyny: 122173 , 122900 , 122901 , 122902 , 122903 , 122904 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-43200 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zaktualizować własny telefon i komputer oraz poprosić o to cały zarząd | CTO | DZISIAJ |
2 | Wskazać osoby wysokiego ryzyka (negocjacje, spory, transakcje, kontakty z mediami) | CTO | DZISIAJ |
3 | Zlecić spis urządzeń Apple w firmie z wersjami systemów | CTO | DO JUTRA |
4 | Zatwierdzić wymianę urządzeń, które nie mogą dostać poprawki | CFO | DO JUTRA |
5 | Zatwierdzić włączenie automatycznych aktualizacji na urządzeniach służbowych | CTO | DO JUTRA |
6 | Ustalić zasady używania prywatnych telefonów do spraw służbowych | CFO | DO JUTRA |
7 | Sprawdzić, czy ktoś dostał od Apple ostrzeżenie o ataku szpiegowskim | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy wszystkie urządzenia zarządu mają wersję systemu z poprawką lub nowszą? | TAK / NIE | 🔴 |
2 | Ile urządzeń Apple w firmie ma system starszy niż wersje z listy? | [liczba] | 🔴 |
3 | Czy mamy urządzenia, które nie mogą już dostać wersji z poprawką? | TAK / NIE, [liczba] | 🟠 |
4 | Czy automatyczne aktualizacje są włączone na urządzeniach służbowych? | TAK / NIE | 🟠 |
5 | Czy nasze narzędzie zgodności zgłasza fałszywe alarmy dla aktualnych iPhone'ów? | TAK / NIE | 🟠 |
6 | Czy ktoś w firmie dostał od Apple powiadomienie o ataku oprogramowaniem szpiegującym? | TAK / NIE | 🟡 |
7 | Kiedy ostatnio przeglądaliśmy wersje systemów na urządzeniach mobilnych? | [data] | 🟡 |
CVE-2025-43200 to luka w przetwarzaniu zdjęć i filmów z linków iCloud w systemach Apple, użyta według Citizen Lab do cichej instalacji oprogramowania szpiegującego na telefonach wybranych osób. Ocena 4.2 zaniża ryzyko dla zarządu i osób prowadzących wrażliwe sprawy, dlatego aktualizacja ich urządzeń to zadanie na dziś, a spis i aktualizacja pozostałych urządzeń Apple na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.