Błąd w jądrze systemów Apple był ogniwem łańcucha DarkSword, który przejmował iPhone'y przez przeglądarkę. CISA potwierdza ataki. Zaktualizuj urządzenia Apple co najmniej do iOS 18.7.2 lub 26.1, najlepiej do najnowszej wersji.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy i kadra zarządzająca używają iPhone'ów, iPadów, komputerów Mac, zegarków Apple Watch lub przystawek Apple TV. Werdykt: jeśli którekolwiek z tych urządzeń ma system starszy niż iOS 18.7.2 / 26.1 (lub odpowiedniki dla macOS, watchOS, tvOS, visionOS), zaktualizuj je dziś, bo luka była używana w prawdziwych atakach szpiegujących na telefony.
Amerykańska agencja CISA 20 marca 2026 roku dopisała podatność CVE-2025-43510 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia dopisała bliźniaczą lukę CVE-2025-43520. Obie dotyczą jądra systemów Apple.
CVE-2025-43510 to błąd w pilnowaniu blokad przy zarządzaniu pamięcią w jądrze XNU. Złośliwa aplikacja lub złośliwy kod działający już na urządzeniu może spowodować nieoczekiwane zmiany w pamięci współdzielonej między procesami. Sama luka nie wpuszcza nikogo do telefonu, ale pozwala napastnikowi, który już ma ograniczony przyczółek, rozszerzyć swoje uprawnienia. Google Threat Intelligence Group opisała ją jako jedno z ogniw łańcucha ataku DarkSword na iPhone'y.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-43510 |
Data dodania do CISA KEV | 2026-03-20 |
Termin naprawy wg CISA | 2026-04-03 (14 dni od wpisu) |
Produkt | Apple: iOS, iPadOS, macOS, watchOS, tvOS, visionOS |
Wersje zagrożone | iOS i iPadOS starsze niż 18.7.2 oraz wersja 26.0; macOS Sonoma od 14.0 do wersji niższych niż 14.8.2; macOS Sequoia od 15.0 do niższych niż 15.7.2; macOS Tahoe 26.0; tvOS, visionOS i watchOS starsze niż 26.1 |
Wersje bezpieczne | iOS i iPadOS 18.7.2 lub 26.1; macOS Sonoma 14.8.2; macOS Sequoia 15.7.2; macOS Tahoe 26.1; tvOS 26.1; visionOS 26.1; watchOS 26.1. Według Google wszystkie luki z łańcucha DarkSword zamyka dopiero iOS 26.3, więc zalecana jest najnowsza dostępna wersja |
Typ podatności | Uszkodzenie pamięci przez niewłaściwe blokowanie; CWE-667 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1) wg NVD i CISA, identyczny wektor. Apple nie podał własnej oceny. Atak lokalny (kod musi działać na urządzeniu), bez uprawnień, wymaga działania użytkownika (np. otwarcia strony lub aplikacji) |
Wyobraź sobie biuro, w którym dwa działy korzystają z jednej wspólnej szafy z dokumentami. Zasada jest prosta: gdy ktoś chce coś w teczce zmienić, zamyka szafę na klucz, robi sobie kopię i dopiero na niej pracuje. W tym przypadku zamek czasem nie zaskakiwał. Pracownik z działu bez uprawnień mógł w tej chwili podmienić kartkę w teczce, którą za moment czytał dyrektor, i dyrektor podpisywał to, co podłożono.
W telefonie „dział bez uprawnień” to np. zamknięty w piaskownicy proces przeglądarki, a „dyrektor” to proces systemowy z szerokim dostępem. W opisanym przez Google ataku napastnik najpierw przejmował proces graficzny Safari, a potem właśnie przez CVE-2025-43510 przechodził do procesu mediaplaybackd, który ma znacznie więcej uprawnień. Kolejna luka, CVE-2025-43520, kończyła przejęcie jądra.
💡 Jądro (XNU) to najważniejsza część systemu Apple, która rozstrzyga, który program ma dostęp do czego. Piaskownica to izolowane środowisko, w którym przeglądarka ma bardzo ograniczone uprawnienia. Łańcuch exploitów to kilka luk użytych po kolei, z których każda otwiera kolejne drzwi. Lockdown Mode (Tryb blokady) to wbudowane ustawienie Apple, które wyłącza część funkcji, żeby utrudnić takie ataki. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę w Safari | Nawet złośliwy kod zostaje w piaskownicy | Kod może przejść do procesu z większymi uprawnieniami |
Aplikacja bez uprawnień | Widzi tylko swoją pamięć | Może podmienić pamięć współdzieloną z innym procesem |
Wiadomości, zdjęcia, poczta służbowa | Chronione przez izolację procesów | Po pełnym łańcuchu dostępne dla implantu szpiegującego |
Ślady ataku | Awaria zostawia raport o błędzie | Według Google implant GHOSTKNIFE kasuje raporty o awariach |
Urządzenie zaktualizowane | Błąd nie działa | Błąd nie działa, łańcuch zostaje przerwany |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie łańcucha DarkSword przez Google. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej użyć przez samo wysłanie czegoś do telefonu, potrzebny jest wcześniejszy etap, np. złośliwa lub przejęta strona internetowa. CISA oceniła, że atak nie jest automatyzowalny, więc dotyczy wybranych celów, a nie masowego skanowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przynęta | T+0 min | Link do spreparowanej strony (np. podszywającej się pod znany serwis) albo przejęcie strony, którą ofiara regularnie odwiedza | Ofiara otwiera stronę w Safari |
2. Wejście do przeglądarki | T+sekundy | Wykorzystanie luk w silniku JavaScriptCore i komponentach graficznych | Kod napastnika w piaskownicy przeglądarki |
3. Wyjście z piaskownicy | T+sekundy | Użycie CVE-2025-43510 do przejścia do procesu mediaplaybackd | Większe uprawnienia na urządzeniu |
4. Przejęcie jądra | T+sekundy do minut | Użycie CVE-2025-43520 do dokończenia podniesienia uprawnień | Pełna kontrola nad telefonem |
5. Instalacja implantu | T+minuty | Wgranie oprogramowania szpiegującego (GHOSTBLADE, GHOSTKNIFE lub GHOSTSABER) | Dostęp do plików, kont, wiadomości |
6. Kradzież danych | T+godziny do tygodni | Wysyłanie danych na serwer napastnika, zacieranie śladów | Wyciek korespondencji i dokumentów |
Mogę Ci jakoś pomóc?
Telefony zarządu i handlowców to często najcenniejsze źródło informacji w firmie: poczta, komunikatory, zdjęcia dokumentów, dostęp do systemów. Ataki tego typu są celowane, więc rzadko widać je w statystykach masowych zagrożeń. Łatka istniała jednak na długo przed atakami, więc główną przyczyną ryzyka jest zwłoka z aktualizacją.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność wyłączenia i przywrócenia urządzeń, zmiana haseł i kont | Dni | 5 tys. do 50 tys. PLN (czas IT, wymiana urządzeń) |
Bezpieczeństwo danych | Wyciek poczty, wiadomości, dokumentów, haseł z urządzenia | Minuty od zainfekowania | 20 tys. do 200 tys. PLN (analiza urządzeń, obsługa incydentu) |
Finansowy | Utracone przetargi i negocjacje, oszustwa na podstawie wykradzionej korespondencji | Tygodnie do miesięcy | 50 tys. do 1 mln PLN, zależnie od wagi informacji |
Reputacyjny | Utrata zaufania klientów i partnerów do poufności rozmów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek oceny naruszenia i zgłoszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla nieaktualizowanych urządzeń Apple
(typowa firma, nie cel wywiadu państwowego)
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie telefonu w łańcuchu z innymi lukami), a prawdopodobieństwo średnie, bo atak jest celowany i nieautomatyzowalny (EPSS około 0,36%); dla zarządu, osób publicznych i firm z branż wrażliwych znacznik należy przesunąć w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować telefony i tablety zarządu oraz osób z dostępem do najbardziej wrażliwych danych do najnowszej wersji iOS lub iPadOS | Dziś | Administrator urządzeń / każdy użytkownik |
2 | 🔴 NATYCHMIAST | Sprawdzić w systemie zarządzania urządzeniami (MDM) listę urządzeń Apple z systemem starszym niż 18.7.2 / 26.1 | Dziś | Administrator MDM |
3 | 🟠 PILNIE | Zaktualizować wszystkie pozostałe urządzenia Apple: komputery Mac, zegarki, Apple TV w salach konferencyjnych, gogle Vision Pro | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Włączyć automatyczne instalowanie aktualizacji systemu i wymusić je przez MDM z krótkim terminem | Do 7 dni | Administrator MDM |
5 | 🟠 PILNIE | Dla urządzeń, których nie da się zaktualizować: włączyć Lockdown Mode lub wycofać je z dostępu do danych firmowych | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Uzupełnić inwentaryzację o sprzęt Apple poza laptopami i telefonami (zegarki, przystawki TV) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przygotować krótką instrukcję dla pracowników: aktualizacja w ciągu kilku dni od wydania i restart urządzenia | Do 30 dni | CTO / HR |
Apple wydał poprawki dla wszystkich wymienionych systemów, więc właściwym rozwiązaniem jest aktualizacja. Starsze urządzenia, które nie dostaną iOS 18.7.2 ani 26.1, trzeba traktować jako niezabezpieczone. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Lockdown Mode (Tryb blokady), zalecany przez Google, gdy aktualizacja nie jest możliwa | Wysoka wobec łańcuchów zaczynających się w przeglądarce | Łatwa, ale ogranicza część funkcji stron i wiadomości |
Odcięcie nieaktualizowanych urządzeń od poczty i systemów firmowych przez MDM lub zasady dostępu | Wysoka dla danych firmowych, nie chroni prywatnych danych na urządzeniu | Średnia |
Ostrożność z linkami z komunikatorów i nieznanych stron | Niska: ataki mogą przychodzić też przez przejęte, zaufane strony | Łatwa |
Wymiana starych urządzeń bez wsparcia aktualizacji | Wysoka | Trudna: wymaga budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Łańcuch DarkSword | Może zadziałać na starszym iOS | Przerwany, luki załatane |
Wiedza o urządzeniach | Brak listy wersji systemów | Lista w MDM z datą ostatniej aktualizacji |
Aktualizacje | Odkładane „na weekend” | Instalowane automatycznie z wymuszonym terminem |
Urządzenia zarządu | Takie same zasady jak reszta | Priorytetowe aktualizacje, rozważony Lockdown Mode |
Sprzęt „poboczny” | Zegarki i Apple TV poza spisem | Wszystkie urządzenia Apple w inwentaryzacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Według Google luka nie była użyta jako zero-day: napastnicy wykorzystywali ją po wydaniu poprawek, przeciwko nieaktualizowanym urządzeniom |
Grupy przestępcze | Według Google łańcuch DarkSword stosowały od co najmniej listopada 2025 roku: grupa UNC6748 (cele w Arabii Saudyjskiej), klienci tureckiego dostawcy narzędzi inwigilacji PARS Defense (Turcja, Malezja) oraz UNC6353, podejrzewana o powiązania z rosyjskim wywiadem (Ukraina) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg NVD i CISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie; Google opisał działanie łańcucha i fragmenty kodu użytego w atakach |
Liczba atakowanych firm | Brak publicznych informacji; ataki opisane jako celowane kampanie przeciw wybranym użytkownikom |
Prognoza EPSS | Około 0,36%, najniższy wynik spośród luk Apple dodanych do KEV tego dnia (wg analizy źródłowej) |
Automatyzacja ataku | Nie (ocena CISA) |
Niski EPSS i wpis w KEV nie są sprzeczne. EPSS mierzy szansę masowych ataków, a KEV potwierdza, że luka została użyta celowo przeciw konkretnym osobom. Firma, która ustala priorytety tylko według punktacji, łatwo odłoży taką poprawkę na koniec listy.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-43510
CVSS 3.1 (NVD, CISA) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (masowe ataki) ~0,36% ░░░░░░░░░░░░░░░░░░░░ bardzo niski
CISA KEV TAK ████████████████████ ataki potwierdzone
Ataki celowane TAK ████████████████████ łańcuch DarkSword
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-11-03 Apple wydaje pierwsze aktualizacje z poprawką
2025-11-05 Kolejne aktualizacje z poprawką
2025-11 Google obserwuje pierwsze użycie łańcucha DarkSword
2025-12-12 Apple dopisuje lukę do biuletynów; publikacja CVE w NVD
2026-03-18 Google publikuje raport o łańcuchu DarkSword
2026-03-20 CISA dodaje CVE-2025-43510 i CVE-2025-43520 do KEV
2026-04-03 Termin naprawy wg CISA dla agencji federalnych
... ponad 10 miesięcy od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple z listą poprawek: iOS 26.1 i iPadOS 26.1 , iOS 18.7.2 i iPadOS 18.7.2 , macOS Tahoe 26.1 , macOS Sequoia 15.7.2 , macOS Sonoma 14.8.2 , tvOS 26.1 , visionOS 26.1 , watchOS 26.1 . Raport Google: DarkSword iOS exploit chain . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-43510 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zaktualizować własny telefon, tablet i komputer Apple do najnowszej wersji | Każdy członek zarządu | DZISIAJ |
2 | Uzyskać od IT listę urządzeń Apple z nieaktualnym systemem | CTO | DZISIAJ |
3 | Zatwierdzić wymuszenie aktualizacji przez MDM z krótkim terminem | CTO | DZISIAJ |
4 | Zdecydować o włączeniu Lockdown Mode dla osób szczególnie narażonych (zarząd, negocjatorzy, podróże do krajów wysokiego ryzyka) | CTO / zarząd | DO JUTRA |
5 | Wskazać urządzenia bez wsparcia aktualizacji i zaplanować ich wymianę | CFO | DO JUTRA |
6 | Jeśli firma nie ma MDM, zlecić wycenę jego wdrożenia | CFO | DO JUTRA |
7 | Przekazać pracownikom krótki komunikat o aktualizacji i restarcie urządzeń | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń Apple ma system starszy niż iOS 18.7.2 / 26.1 lub odpowiednik dla macOS, watchOS, tvOS? | [liczba] | 🔴 |
2 | Czy urządzenia zarządu są już na najnowszej wersji systemu? | TAK / NIE | 🔴 |
3 | Czy wszystkie urządzenia Apple są zarejestrowane w MDM? | TAK / NIE | 🔴 |
4 | Czy aktualizacje systemu są wymuszane i w jakim terminie od wydania? | TAK / NIE, [liczba dni] | 🟠 |
5 | Które urządzenia nie mogą dostać poprawki i co z nimi robimy? | [lista] | 🟠 |
6 | Czy przystawki Apple TV i zegarki są objęte aktualizacjami? | TAK / NIE | 🟡 |
7 | Kiedy ostatnio sprawdzono wersje systemów na wszystkich urządzeniach Apple? | [data] | 🟡 |
CVE-2025-43510 to błąd w jądrze systemów Apple, który w łańcuchu DarkSword pozwalał napastnikom przejść z przeglądarki do pełnej kontroli nad iPhone'em. Poprawki są dostępne od listopada 2025 roku, a CISA potwierdza ataki, więc aktualizacja wszystkich urządzeń Apple, zaczynając od zarządu, to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.