Błąd w silniku stron WebKit pozwala uruchomić kod napastnika po otwarciu spreparowanej strony na iPhonie, iPadzie, Macu czy Apple TV. CISA potwierdza ataki. Zaktualizuj urządzenia, a sprzęt bez wsparcia odseparuj i wymień.
Ten alert jest dla zarządu, CTO i CFO firm, które używają iPhone'ów, iPadów, komputerów Mac, Apple TV lub Apple Watch, także jako terminali, kas czy ekranów w poczekalni. Werdykt: każde urządzenie Apple z systemem starszym niż iOS/iPadOS 15.6, macOS Monterey 12.5, tvOS 15.6 lub watchOS 8.7 zaktualizuj w tym tygodniu, a sprzęt, który nie może dostać tych wersji, odłącz od danych firmy i zaplanuj do wymiany.
Amerykańska agencja CISA 20 października 2025 roku dopisała podatność CVE-2022-48503 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd w JavaScriptCore, części silnika WebKit, który wyświetla strony internetowe na urządzeniach Apple. Otwarcie spreparowanej strony może doprowadzić do uruchomienia kodu napastnika na urządzeniu.
Apple usunął błąd już 20 lipca 2022 roku, ale informację o nim dopisał do biuletynu dopiero w czerwcu 2023 roku, a CISA potwierdziła ataki ponad trzy lata po poprawce. CISA zaznacza, że dotknięte produkty mogą być poza wsparciem i wtedy należy przestać ich używać. Termin naprawy wg CISA minął 10 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-48503 |
Data dodania do CISA KEV | 2025-10-20 |
Termin naprawy wg CISA | 2025-11-10 (21 dni od wpisu) |
Produkt | Apple: iOS, iPadOS, macOS, tvOS, watchOS, Safari (silnik WebKit, komponent JavaScriptCore); pośrednio także pakiety WebKitGTK w systemach Linux (Red Hat) |
Wersje zagrożone | iOS i iPadOS starsze niż 15.6; macOS Monterey od 12.0 do przed 12.5; tvOS starszy niż 15.6; watchOS starszy niż 8.7; Safari starsze niż 15.6. Szczególnie: urządzenia, które nie mogą zainstalować tych wersji (iOS 15.6 wymaga iPhone'a 6s lub nowszego, iPada Air 2, iPada 5. generacji, iPada mini 4 lub nowszych) |
Wersje bezpieczne | iOS i iPadOS 15.6, macOS Monterey 12.5, tvOS 15.6, watchOS 8.7, Safari 15.6 i każda nowsza wersja. Zalecenie: najnowsza wersja systemu dostępna dla danego urządzenia. Red Hat: webkit2gtk3 2.38.5 (RHEL 8 i 9) |
Typ podatności | Brak poprawnej kontroli granic, niewłaściwa walidacja indeksu tablicy; CISA: CWE-129; NVD: brak klasyfikacji; Red Hat: wstrzyknięcie kodu |
Ocena CVSS | NVD i CISA: 8.8 (CVSS 3.1, WYSOKA). Atak przez sieć, niska złożoność, bez uprawnień, wymagany udział użytkownika (otwarcie treści internetowej) |
Wyobraź sobie magazyn z regałami, w którym magazynier przynosi towar według numeru półki. Regał ma pięć półek. Rzetelny magazynier, słysząc „przynieś z półki dziewiątej”, odpowie, że takiej nie ma. Nieuważny pójdzie dalej, odliczy półki „w powietrzu” i przyniesie to, co leży w tym miejscu, choćby była to skrzynka z kluczami do całego magazynu.
Tak działał ten błąd. Silnik stron w urządzeniach Apple sięgał do danych według numeru pozycji i nie sprawdzał, czy ten numer mieści się w zakresie. Spreparowana strona podawała taki numer, żeby trafić dokładnie w miejsce pozwalające uruchomić własny kod. Silnik WebKit jest częścią systemu, więc pracuje wszędzie tam, gdzie pojawia się treść z internetu, nie tylko w Safari.
💡 WebKit to silnik wyświetlający strony internetowe w urządzeniach Apple; na iPhone'ach i iPadach korzystają z niego wszystkie przeglądarki. JavaScriptCore to jego część wykonująca skrypty stron. Kontrola granic to sprawdzenie, czy program nie sięga poza przydzielony obszar danych. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link na iPadzie służącym do zamówień | Wyświetla się strona | Strona może uruchomić kod napastnika |
Apple TV w poczekalni pokazuje ofertę | Traktowana jak telewizor | Komputer z tym samym silnikiem, rzadko aktualizowany |
Stary iPad, który nie dostaje już aktualizacji | Działa „wystarczająco dobrze” | Luka nie zostanie w nim nigdy naprawiona |
Skanowanie kodu QR z ulotki | Otwiera stronę | Może przenieść na spreparowaną stronę |
Hasło do systemu sprzedaży zapisane na tablecie | Dostępne tylko dla obsługi | Dostępne dla napastnika po przejęciu urządzenia |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani hasła, ale ofiara musi otworzyć spreparowaną treść. CISA ocenia, że ataku nie da się zautomatyzować, więc to raczej atak na wybrane osoby niż masowe skanowanie internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wytypowanie osoby lub firmy używającej starszych urządzeń Apple | Znany cel |
2. Przygotowanie strony | T+godziny do dni | Umieszczenie exploita na stronie, w reklamie lub za kodem QR | Pułapka gotowa |
3. Zwabienie | T+godziny do dni | Link w wiadomości „o przesyłce”, reklama w odwiedzanym serwisie | Ofiara otwiera stronę |
4. Wykorzystanie luki | T+sekundy | Spreparowany skrypt wywołuje błąd w JavaScriptCore | Kod napastnika działa na urządzeniu |
5. Przejęcie danych | T+minuty do dni | Odczyt zapisanych haseł, sesji, poczty, dostęp do sieci lokalnej | Punkt zaczepienia w sieci firmy |
6. Wykorzystanie | T+dni do tygodni | Dostęp do systemu sprzedaży, bazy klientów, dalsze ataki w sieci | Wyciek danych, straty finansowe |
Urządzenia, których nikt nie uznaje za komputery, wypadają z każdej listy aktualizacji i stoją włączone przez lata. Luka ma poprawkę od 2022 roku, więc zagrożone są dokładnie te zapomniane albo zbyt stare urządzenia, a CISA potwierdza, że napastnicy ich szukają.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie i wymiana przejętych lub zbyt starych urządzeń, reset haseł | Dni | 10 tys. do 100 tys. PLN (zakup sprzętu, prace IT) |
Bezpieczeństwo danych | Przejęte hasła, dostęp do systemu sprzedaży, poczty, sieci lokalnej | Minuty do dni | 20 tys. do 150 tys. PLN (analiza incydentu, reset dostępów) |
Finansowy | Oszustwa, nieautoryzowane operacje, koszty specjalistów | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których dane były w systemie | Miesiące | 20 tys. do 200 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy ze starymi urządzeniami Apple
bez aktualizacji z lipca 2022
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (uruchomienie kodu na urządzeniu z dostępem do danych firmy), ale prawdopodobieństwo dla typowej firmy jest niskie, bo atak wymaga zwabienia ofiary i nie da się go zautomatyzować, a prognoza EPSS wynosi ok. 3%; firma, której wszystkie urządzenia Apple mają aktualne systemy, jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie firmowe urządzenia Apple: iPhone, iPad, Mac, Apple TV, Apple Watch, także terminale i ekrany | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję systemu na każdym z nich i porównać z listą wersji bezpiecznych | Dziś do 2 dni | Administrator IT |
3 | 🟠 PILNIE | Zaktualizować wszystkie urządzenia do najnowszej dostępnej wersji systemu | Do 3 dni | Administrator IT / pracownicy |
4 | 🟠 PILNIE | Urządzenia, które nie mogą zainstalować iOS 15.6 lub nowszego, odłączyć od systemów z danymi firmy i przenieść do osobnej sieci | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Na serwerach Red Hat z pakietami WebKitGTK zainstalować poprawione pakiety (webkit2gtk3 2.38.5 lub nowszy) | Do 7 dni | Administrator serwerów |
6 | 🟡 WAŻNIE | Przygotować plan wymiany urządzeń bez wsparcia z budżetem | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Objąć urządzenia Apple systemem zarządzania (MDM) z wymuszaniem aktualizacji | Do 60 dni | Administrator IT |
Apple wydał poprawki w lipcu 2022 roku dla wszystkich wymienionych systemów. Problemem są urządzenia, które nie mogą ich zainstalować, bo nie są już wspierane: dla nich CISA zaleca zaprzestanie używania. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana urządzenia na wspierane (zalecenie CISA dla produktów bez wsparcia) | Wysoka, docelowe rozwiązanie | Trudna budżetowo |
Tryb jednej aplikacji (kiosk) i blokada otwierania stron na tabletach służących jako terminale | Średnia: ogranicza możliwość wejścia na spreparowaną stronę | Średnia |
Filtrowanie stron na poziomie sieci (DNS, serwer pośredniczący) | Niska do średniej | Średnia |
Odseparowanie starych urządzeń w osobnej sieci bez dostępu do serwerów | Wysoka jako ograniczenie skutków | Średnia |
Na starych serwerach Red Hat: usunięcie pakietów środowiska graficznego zależnych od WebKitGTK (obejście producenta; psuje pulpit, terminal działa) | Wysoka dla serwera | Średnia, zależnie od potrzeb pulpitu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o urządzeniach Apple | Brak listy, terminale i ekrany pominięte | Pełny spis z wersjami systemów |
Wersje systemów | Część sprzed lipca 2022 | Najnowsze dostępne |
Urządzenia bez wsparcia | W sieci firmowej, z hasłami do systemów | Odseparowane i zaplanowane do wymiany |
Tablety jako terminale | Pełna przeglądarka | Tryb jednej aplikacji |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed 10 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); europejska baza EUVD odnotowuje potwierdzone wykorzystanie od października 2025 |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD i CISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; profil ataku ukierunkowany |
Automatyzacja ataku | CISA: niemożliwa; skutek techniczny całkowity |
Prognoza EPSS | Ok. 3% szansy próby wykorzystania w 30 dni (wg analizy źródłowej) |
Kto zgłosił | Dongzhuo Zhao (ADLab of Venustech) i ZhaoHai (Cyberpeace Tech), wg Apple |
Sygnały zagrożenia dla CVE-2022-48503
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~3% █░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak ukierunkowany
Poprawka dostępna TAK ████████████████████ od lipca 2022 2022-07-20 Apple wydaje iOS/iPadOS 15.6, macOS 12.5, tvOS 15.6,
watchOS 8.7 i Safari 15.6 z poprawką
2023-05 Red Hat wydaje poprawkę WebKitGTK dla RHEL 8
2023-06-21 Apple dopisuje CVE-2022-48503 do biuletynów
2023-08-14 Publikacja CVE w NVD
2025-07 Red Hat wydaje poprawkę w ramach rozszerzonego wsparcia RHEL 7
2025-10-20 CISA dodaje lukę do katalogu KEV
2025-11-10 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple: iOS i iPadOS 15.6 , macOS Monterey 12.5 , Safari 15.6 , watchOS 8.7 , tvOS 15.6 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-48503 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wszystkich urządzeń Apple w firmie z wersjami systemów | CTO | DZISIAJ |
2 | Polecić zarządowi i księgowości sprawdzenie aktualizacji swoich iPhone'ów i iPadów | CTO | DZISIAJ |
3 | Zatwierdzić odłączenie urządzeń bez wsparcia od systemów z danymi | CTO | DO JUTRA |
4 | Zatwierdzić tryb jednej aplikacji na tabletach służących jako terminale | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę urządzeń, które nie dostają aktualizacji | CFO | DO JUTRA |
6 | Dopisać do zasad zakupowych minimalny okres wsparcia aktualizacjami | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza szkody z urządzeń bez wsparcia producenta | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń Apple mamy w firmie, łącznie z terminalami, ekranami i zegarkami? | [liczba] | 🔴 |
2 | Ile z nich ma system starszy niż iOS/iPadOS 15.6, macOS 12.5, tvOS 15.6 lub watchOS 8.7? | [liczba] | 🔴 |
3 | Które urządzenia nie mogą już dostać aktualizacji systemu? | [lista] | 🔴 |
4 | Czy stare urządzenia mają zapisane hasła do systemów firmy lub dostęp do sieci z serwerami? | TAK / NIE | 🟠 |
5 | Czy tablety służące jako terminale mają zablokowaną przeglądarkę? | TAK / NIE | 🟠 |
6 | Czy mamy serwery Red Hat z pakietami WebKitGTK i czy są zaktualizowane? | TAK / NIE | 🟠 |
7 | Czy urządzenia Apple są objęte systemem zarządzania z wymuszaniem aktualizacji? | TAK / NIE | 🟡 |
CVE-2022-48503 to błąd w silniku WebKit urządzeń Apple, który pozwala uruchomić kod napastnika po otwarciu spreparowanej strony; poprawka istnieje od lipca 2022 roku, a CISA w październiku 2025 potwierdziła ataki. Zagrożone są przede wszystkim zapomniane i zbyt stare urządzenia, więc zadanie na ten tydzień to spisać cały sprzęt Apple, zaktualizować go do najnowszych wersji, a urządzenia bez wsparcia odseparować i zaplanować do wymiany.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.