Błąd synchronizacji urządzeń w WhatsApp na iOS i Mac, połączony z luką Apple, posłużył do ataków szpiegowskich bez kliknięcia. CISA potwierdza wykorzystanie. Zaktualizuj dziś WhatsApp i system.
Ten alert jest dla zarządu, CTO i CFO firm, w których właściciele, menedżerowie i handlowcy prowadzą sprawy firmowe przez WhatsApp lub WhatsApp Business na iPhone'ach i komputerach Mac. Werdykt: jeśli aplikacje lub systemy Apple nie są zaktualizowane, zaktualizuj dziś i WhatsApp, i system operacyjny, bo ta luka posłużyła w łańcuchu z błędem Apple do ataków szpiegowskich bez jednego kliknięcia.
Amerykańska agencja CISA 2 września 2025 roku dopisała do katalogu KEV podatność CVE-2025-55177 w komunikatorze WhatsApp. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach.
Błąd dotyczy synchronizacji z urządzeniami powiązanymi (komputer, tablet, przeglądarka). Aplikacja nie sprawdzała dokładnie, kto przysłał komunikat synchronizacyjny, więc zupełnie obca osoba mogła zmusić telefon ofiary do pobrania i przetworzenia zawartości ze wskazanego adresu. Meta ocenia, że w połączeniu z luką w systemach Apple CVE-2025-43300 (przetwarzanie obrazów) posłużyło to do wyrafinowanego ataku na wybrane osoby. Ofiara nie musiała niczego klikać.
Według doniesień medialnych WhatsApp wysłał ostrzeżenia do mniej niż 200 użytkowników, a Amnesty International mówi o zaawansowanej kampanii szpiegowskiej. Termin naprawy wyznaczony przez CISA minął 23 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-55177 |
Data dodania do CISA KEV | 2025-09-02 |
Termin naprawy wg CISA | 2025-09-23 (21 dni od wpisu) |
Produkt | Meta Platforms WhatsApp na iOS, WhatsApp Business na iOS, WhatsApp na Mac |
Wersje zagrożone | WhatsApp na iOS od 2.22.25.2 do wersji przed 2.25.21.73; WhatsApp Business na iOS i WhatsApp na Mac od 2.22.25.2 do wersji przed 2.25.21.78 |
Wersje bezpieczne | WhatsApp na iOS 2.25.21.73 lub nowszy; WhatsApp Business na iOS i WhatsApp na Mac 2.25.21.78 lub nowsze. Drugie ogniwo łańcucha (CVE-2025-43300) naprawiono w iOS i iPadOS 18.6.2, 16.7.12, 15.8.5, iPadOS 17.7.10 oraz macOS Sequoia 15.6.1, Sonoma 14.7.8 i Ventura 13.7.8 |
Typ podatności | Niepoprawna autoryzacja komunikatów synchronizacji urządzeń powiązanych; CWE-863 |
Ocena CVSS | Meta: 5.4 ŚREDNIA (CVSS 3.1, sama luka, z adnotacją o działającym kodzie ataku i dostępnej poprawce). CISA w ocenie SSVC: skutek techniczny całkowity. Drugie ogniwo, CVE-2025-43300: 10.0 wg CISA. Atak bez udziału ofiary |
Wyobraź sobie sekretariat, który dostaje wewnętrzne notatki z innych działów firmy i wykonuje je bez pytań, bo przychodzą na firmowym papierze. Ktoś z zewnątrz podrobił nagłówek notatki „z działu IT” z poleceniem: „odbierz paczkę spod tego adresu i otwórz ją na biurku prezesa”. Sekretariat zrobił to automatycznie. W paczce było urządzenie podsłuchowe, które zadziałało, gdy tylko ją rozpakowano.
Tak działał ten łańcuch. Pierwsza luka (WhatsApp) sprawiała, że telefon ufał sfałszowanemu komunikatowi „od własnego urządzenia” i sam pobierał plik ze wskazanego adresu. Druga luka (Apple, przetwarzanie obrazów) sprawiała, że spreparowany plik graficzny przejmował kontrolę nad programem, który go przetwarzał. Osobno każda z nich była ograniczona, razem dawały drogę od cudzej wiadomości do dostępu do telefonu.
💡 Atak bez kliknięcia (zero-click) to atak, w którym ofiara nie musi niczego otwierać ani klikać, więc szkolenia z ostrożności nie pomagają. Urządzenia powiązane to komputery i tablety podłączone do tego samego konta WhatsApp. Łańcuch luk to połączenie kilku błędów, z których każdy osobno wydaje się mało groźny. Oprogramowanie szpiegujące (spyware) potajemnie odczytuje wiadomości, rozmowy i dane z telefonu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła komunikat synchronizacji | Telefon go odrzuca | Telefon traktuje go jak komunikat od własnego urządzenia |
Pobieranie zawartości z internetu | Tylko na polecenie użytkownika | Na polecenie napastnika, bez wiedzy ofiary |
Szkolenia z ostrożności | Chronią przed podejrzanymi linkami | Nie pomagają, bo nie ma czego klikać |
Zaktualizowany tylko system albo tylko WhatsApp | Wydaje się wystarczające | Jedno ogniwo zamknięte, ale przy kolejnym łańcuchu może to nie wystarczyć |
Kody SMS do logowania | Drugi składnik zabezpieczeń | Przestają chronić, jeśli telefon jest przejęty |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że ataku nie da się zautomatyzować: cele wybierano pojedynczo, a nie masowo. To zmniejsza szansę trafienia przeciętnej firmy, ale oznacza, że ktoś celowo wybierał osoby do inwigilacji.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Ustalenie numeru telefonu wybranej osoby, np. prezesa, prawnika, dziennikarza | Konkretny cel |
2. Dostarczenie | T+kilka minut | Wysłanie sfałszowanego komunikatu synchronizacji WhatsApp | Telefon ofiary sam pobiera spreparowany plik |
3. Przejęcie | T+sekundy | Plik wykorzystuje lukę w przetwarzaniu obrazów systemu Apple | Kod napastnika działa na urządzeniu |
4. Instalacja szpiega | T+minuty | Uruchomienie oprogramowania szpiegującego | Dostęp do wiadomości, zdjęć, poczty, kodów SMS |
5. Zbieranie danych | T+dni do tygodni | Ciche odczytywanie korespondencji i dokumentów | Wiedza o firmie, kontraktach, negocjacjach |
6. Wykorzystanie | T+tygodnie | Szpiegostwo gospodarcze, szantaż lub podszycie się pod właściciela | Straty finansowe, wyciek tajemnic |
Mogę Ci jakoś pomóc?
W małej i średniej firmie telefon szefa to często biuro: poczta, bankowość, dokumenty w chmurze i rozmowy z klientami w WhatsApp Business. Luka jest wykorzystywana w atakach celowanych, więc prawdopodobieństwo dla przeciętnej firmy jest niższe, ale skutki przejęcia telefonu kluczowej osoby są bardzo poważne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub czyszczenie telefonów, wymiana haseł i kodów do wszystkich usług | Dni | 5 tys. do 50 tys. PLN (sprzęt, prace IT) |
Bezpieczeństwo danych | Wyciek wiadomości, zdjęć dokumentów, poczty i danych klientów | Od chwili przejęcia | 20 tys. do 200 tys. PLN (analiza urządzeń, obsługa incydentu) |
Finansowy | Przelew na podmienione konto, straty z ujawnionych negocjacji | Tygodnie | 50 tys. do 1 mln PLN (zależnie od wartości przelewów i kontraktów) |
Reputacyjny | Utrata zaufania klientów, których rozmowy i dane wyciekły | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe klientów, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy, w której kluczowe osoby używają
niezaktualizowanego WhatsApp i systemu Apple
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE / WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełny dostęp do telefonu kluczowej osoby), ale prawdopodobieństwo niskie, bo ataki były nieliczne, celowane i nie dało się ich zautomatyzować; dla firm z członkami zarządu narażonymi na szpiegostwo gospodarcze znacznik przesuwa się w prawo, a firma z aktualnymi aplikacjami i systemami jest poza zasięgiem tego łańcucha.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować WhatsApp i WhatsApp Business na wszystkich firmowych iPhone'ach i komputerach Mac | Dziś | Każdy użytkownik / administrator MDM |
2 | 🔴 NATYCHMIAST | Zaktualizować iOS, iPadOS i macOS do wersji z poprawką CVE-2025-43300 lub nowszych | Dziś | Każdy użytkownik / administrator MDM |
3 | 🟠 PILNIE | Sprawdzić w ustawieniach WhatsApp listę urządzeń powiązanych i usunąć nieznane | Do 3 dni | Każdy użytkownik |
4 | 🟠 PILNIE | Jeśli ktoś dostał od WhatsApp ostrzeżenie o ataku: odłożyć telefon, skontaktować się z zespołem bezpieczeństwa i zlecić analizę urządzenia | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zastąpić kody SMS aplikacją uwierzytelniającą lub kluczem sprzętowym w bankowości, poczcie i panelach firmowych | Do 7 dni | CTO / administrator |
6 | 🟡 WAŻNIE | Wprowadzić zasadę telefonicznego potwierdzania zmian numerów kont kontrahentów na znany wcześniej numer | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Wdrożyć zarządzanie urządzeniami mobilnymi (MDM) z wymuszaniem aktualizacji | Do 30 dni | CTO |
Meta i Apple wydały poprawki w sierpniu 2025 roku, więc aktualizacja jest dostępna. Problem mają głównie urządzenia zbyt stare, by otrzymać nowy system. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Tryb blokady (Lockdown Mode) w iOS i macOS dla osób szczególnie narażonych | Wysoka wobec zaawansowanych ataków szpiegowskich | Średnia: ogranicza część funkcji |
Regularne ponowne uruchamianie telefonu | Niska do średniej: część narzędzi szpiegujących nie przetrwa restartu | Łatwa |
Wymiana urządzeń, które nie dostają już aktualizacji systemu | Wysoka | Trudna: wymaga budżetu |
Przeniesienie rozmów o poufnych sprawach poza telefon kluczowych osób | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
WhatsApp na iPhone i Mac | Wersje podatne na sfałszowaną synchronizację | 2.25.21.73 / 2.25.21.78 lub nowsze |
System Apple | Podatny na spreparowane obrazy | Wersja z poprawką CVE-2025-43300 |
Urządzenia powiązane | Nieznana lista | Sprawdzona, tylko własne urządzenia |
Drugi składnik logowania | Kody SMS | Aplikacja uwierzytelniająca lub klucz sprzętowy |
Zgodność z wymogami | Zaległość wobec terminu CISA z 23 września 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Meta), w atakach na wybrane osoby |
Grupy przestępcze | Brak publicznych informacji o sprawcach; Amnesty International mówi o zaawansowanej kampanii oprogramowania szpiegującego |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.4 ŚREDNIA wg Meta (CVSS 3.1); skutek całkowity wg CISA SSVC; powiązana CVE-2025-43300: 10.0 wg CISA |
PoC dostępny publicznie? | Brak publicznego kodu ataku; Meta w ocenie zaznacza istnienie działającego kodu (wykorzystanego w atakach) |
Liczba atakowanych firm | Według doniesień medialnych WhatsApp ostrzegł mniej niż 200 użytkowników |
Automatyzacja ataku | Nie (ocena CISA), ataki celowane |
Powiązana luka | CVE-2025-43300 w iOS, iPadOS i macOS (zapis poza pamięcią przy przetwarzaniu obrazów), w KEV od 21 sierpnia 2025 roku |
Prognoza EPSS | Około 4%, ale wyżej niż 90% śledzonych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-55177
CVSS 3.1 (Meta) 5.4/10 ███████████░░░░░░░░░ ŚREDNIA
Skutek wg CISA SSVC total ████████████████████ CAŁKOWITY
CVE-2025-43300 (CISA) 10/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~4% █░░░░░░░░░░░░░░░░░░░ NISKA, ale celowana
CISA KEV TAK ████████████████████ ataki potwierdzone
Mogę Ci jakoś pomóc?
2025-07/08 WhatsApp wydaje poprawione wersje dla iOS i Mac
2025-08 Apple łata CVE-2025-43300 w iOS, iPadOS i macOS
2025-08-21 CISA dodaje CVE-2025-43300 do KEV
2025-08-29 Publikacja CVE-2025-55177 i komunikatu Meta
2025-09-02 CISA dodaje CVE-2025-55177 do KEV
2025-09-23 Termin naprawy wg CISA dla agencji federalnych
... prawie 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikaty bezpieczeństwa WhatsApp: whatsapp.com/security/advisories/2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-55177 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić wszystkim członkom zarządu i kluczowym pracownikom aktualizację WhatsApp i systemu | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie wersji aplikacji i systemu na telefonach służbowych | CTO | DZISIAJ |
3 | Ustalić, czy ktoś w firmie dostał ostrzeżenie WhatsApp o możliwym ataku | CTO | DZISIAJ |
4 | Zatwierdzić przejście z kodów SMS na aplikację uwierzytelniającą w kluczowych usługach | CTO | DO JUTRA |
5 | Wprowadzić telefoniczne potwierdzanie zmian numerów kont kontrahentów | CFO | DO JUTRA |
6 | Zarezerwować budżet na wymianę telefonów bez aktualizacji i na MDM | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje urządzenia mobilne i oszustwa na przelewach | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja WhatsApp lub WhatsApp Business jest na telefonach zarządu? | [wersja] | 🔴 |
2 | Jaka wersja iOS i macOS działa na urządzeniach służbowych? | [wersja] | 🔴 |
3 | Czy ktoś w firmie dostał ostrzeżenie o ataku od WhatsApp lub Apple? | TAK / NIE | 🔴 |
4 | Czy sprawdziliśmy listę urządzeń powiązanych z kontami WhatsApp kluczowych osób? | TAK / NIE | 🟠 |
5 | Czy mamy system MDM, który wymusza aktualizacje telefonów? | TAK / NIE | 🟠 |
6 | Które usługi firmowe nadal używają kodów SMS jako drugiego składnika? | [lista] | 🟠 |
7 | Ile telefonów służbowych nie dostaje już aktualizacji systemu? | [liczba] | 🟡 |
CVE-2025-55177 w WhatsApp na iOS i Mac pozwalała obcej osobie zmusić telefon do pobrania spreparowanej zawartości, a w łańcuchu z luką Apple CVE-2025-43300 posłużyła do ataków szpiegowskich bez kliknięcia. Poprawki aplikacji i systemów są dostępne od sierpnia 2025 roku, więc aktualizacja obu elementów na telefonach kluczowych osób to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.