Błąd w jądrze systemów Apple pozwala złośliwemu kodowi przejąć pełną kontrolę nad iPhone'em lub Makiem. Wykorzystany w atakach szpiegowskich, jest w katalogu CISA KEV. Poprawka jest od listopada 2025: zaktualizuj urządzenia firmowe.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy, a zwłaszcza kadra zarządzająca, używają iPhone'ów, iPadów, Maców lub zegarków Apple. Werdykt: jeśli urządzenie ma system starszy niż iOS/iPadOS 18.7.2 lub 26.1, macOS 14.8.2, 15.7.2 lub 26.1, zaktualizuj je dziś, bo luka była ogniwem łańcucha ataków szpiegowskich, a ocena „średnia” jest tu myląca.
Amerykańska agencja CISA 20 marca 2026 roku dopisała podatność CVE-2025-43520 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w jądrze systemów Apple. Apple pisze, że złośliwa aplikacja może spowodować niespodziewane zatrzymanie systemu albo zapisać pamięć jądra, czyli obejść wszystkie zabezpieczenia urządzenia.
Google Threat Intelligence Group opisała tę lukę jako ostatnie ogniwo łańcucha ataku DarkSword: moduł, który po wcześniejszym wejściu na urządzenie daje napastnikowi pełną władzę nad pamięcią systemu. Poprawki Apple wydało w listopadzie 2025 roku, zanim luka trafiła do KEV.
Termin naprawy wyznaczony przez CISA minął 3 kwietnia 2026 roku, ponad pięć miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-43520 |
Data dodania do CISA KEV | 2026-03-20 |
Termin naprawy wg CISA | 2026-04-03 (14 dni od wpisu) |
Produkt | Apple: iOS, iPadOS, macOS, tvOS, visionOS, watchOS |
Wersje zagrożone | iOS i iPadOS starsze niż 18.7.2 oraz 26.0; macOS 14.0 do 14.8.1, 15.0 do 15.7.1 oraz 26.0; tvOS, visionOS i watchOS starsze niż 26.1 |
Wersje bezpieczne | iOS i iPadOS 18.7.2 lub 26.1; macOS Sonoma 14.8.2, Sequoia 15.7.2, Tahoe 26.1; tvOS 26.1, visionOS 26.1, watchOS 26.1 oraz nowsze. Wszystkie luki z łańcucha DarkSword są załatane najpóźniej w iOS 26.3 |
Typ podatności | Uszkodzenie pamięci jądra. CISA: CWE-120 (klasyczne przepełnienie bufora); Google: wyścig (race condition) w warstwie systemu plików jądra XNU |
Ocena CVSS | 5.5 ŚREDNIA (CVSS 3.1, NVD i CISA; Apple nie podał własnej). Atak lokalny, wymaga wcześniejszego uruchomienia kodu na urządzeniu. Uwaga: CISA w ocenie skutków technicznych wskazuje przejęcie całkowite |
Wyobraź sobie bank, w którym kasjer najpierw sprawdza dokument klienta, a potem odwraca się do sejfu. W tej sekundzie, gdy kasjer jest odwrócony, ktoś podmienia kartkę z numerem skrytki. Kasjer otwiera skrytkę, którą „sprawdził”, ale jest to już zupełnie inna skrytka. Nikt nie złamał zamka, po prostu wykorzystano chwilę między sprawdzeniem a działaniem.
Tak według Google działa ta luka. Jądro systemu najpierw coś sprawdza, a potem na tym działa, a złośliwy kod w ułamku sekundy podmienia przedmiot operacji. Skutek to możliwość odczytu i zapisu pamięci systemu, czyli koniec wszystkich zabezpieczeń telefonu lub komputera. Pracownik niczego nie zauważa, a szkolenie z rozpoznawania podejrzanych maili nic tu nie zmienia.
💡 Jądro (kernel) to najgłębsza część systemu operacyjnego, która zarządza pamięcią, plikami i uprawnieniami. Wyścig (race condition) to błąd, w którym wynik zależy od tego, która z dwóch równoległych czynności zdąży pierwsza. Łańcuch exploitów to kilka luk użytych po kolei: jedna daje wejście, kolejne zwiększają uprawnienia. Lockdown Mode to tryb Apple wyłączający część funkcji, by utrudnić ataki. CVSS to punktowa skala powagi luki od 0 do 10.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aplikacja lub kod ze strony działa na telefonie | Jest zamknięty w piaskownicy, nie widzi innych danych | Po przejściu wcześniejszych etapów przejmuje jądro |
Dostęp do wiadomości, poczty, zdjęć | Tylko przez uprawnione aplikacje | Napastnik ma dostęp do całej pamięci urządzenia |
Ślady ataku | Logi awarii zostają w systemie | Złośliwe oprogramowanie z łańcucha może kasować logi awarii (wg Google) |
Priorytet w firmowej kolejce łatek | Ocena 5.5 trafia na koniec listy | Skutek w opisie producenta: zapis pamięci jądra |
Szkolenie pracowników | Chroni przed klikaniem w podejrzane linki | Nie chroni przed luką w jądrze |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie łańcucha DarkSword przez Google. To scenariusz poglądowy, nie odtworzenie konkretnego incydentu. Ta luka nie działa sama przez internet: wymaga wcześniejszego uruchomienia kodu na urządzeniu, który w DarkSword dostarczały poprzednie ogniwa uruchamiane ze złośliwej strony internetowej. CISA ocenia atak jako niemożliwy do pełnej automatyzacji.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wytypowanie konkretnych osób, np. przez podrzucenie linku lub przejęcie strony, którą odwiedzają | Ofiara wchodzi na przygotowaną stronę |
2. Wejście | T+sekundy | Wykorzystanie luk w przeglądarce do uruchomienia kodu | Przyczółek w ograniczonym procesie |
3. Ucieczka z piaskownicy | T+sekundy | Kolejne luki pozwalają wyjść poza izolację przeglądarki | Kod działa w innym procesie systemowym |
4. Przejęcie jądra | T+sekundy | Użycie CVE-2025-43520 do odczytu i zapisu pamięci jądra | Pełna kontrola nad urządzeniem |
5. Instalacja ładunku | T+minuty | Wgranie oprogramowania szpiegującego, zacieranie śladów | Stały podgląd danych |
6. Kradzież | T+godziny do tygodni | Wyprowadzanie wiadomości, poczty, plików, danych logowania | Wyciek poufnych informacji firmy |
Mogę Ci jakoś pomóc?
Telefony zarządu mają dostęp do poczty, kalendarza, komunikatorów, systemów finansowych i uwierzytelniania wieloskładnikowego. Przejęcie jądra oznacza, że wszystkie te zabezpieczenia na urządzeniu przestają działać. Ocena 5.5 bywa przyczyną odkładania aktualizacji, choć skutek jest całkowity.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub reinstalacja urządzeń, reset kont, przerwa w pracy kluczowych osób | Dni | 10 tys. do 60 tys. PLN |
Bezpieczeństwo danych | Wyciek korespondencji, dokumentów, danych logowania, kodów MFA | Godziny od przejęcia | 30 tys. do 250 tys. PLN (analiza urządzeń, obsługa incydentu) |
Finansowy | Utracone przetargi i negocjacje, oszustwa z użyciem przejętych kont | Tygodnie do miesięcy | 50 tys. do 1 mln PLN |
Reputacyjny | Ujawnienie poufnych rozmów, utrata zaufania partnerów | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); naruszenie umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń Apple bez poprawki
Wpływ
5 | . ■ . . . ← WYSOKIE (ataki celowane)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełne przejęcie urządzenia), a prawdopodobieństwo dla przeciętnej firmy niskie, bo luka służy w atakach celowanych i wymaga całego łańcucha; dla zarządu, osób negocjujących duże kontrakty lub pracujących z zagranicznymi partnerami ryzyko jest wyraźnie wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować telefony, tablety i komputery zarządu do najnowszej dostępnej wersji systemu | Dziś | Dział IT / każdy użytkownik |
2 | 🔴 NATYCHMIAST | Sprawdzić w systemie zarządzania urządzeniami (MDM) wersje wszystkich firmowych urządzeń Apple | Dziś | Administrator MDM |
3 | 🟠 PILNIE | Wymusić aktualizację urządzeń z systemem starszym niż wersje z poprawką (także zegarki i Apple TV w salach konferencyjnych) | Do 3 dni | Administrator MDM |
4 | 🟠 PILNIE | Dla urządzeń, których nie da się zaktualizować: włączyć Lockdown Mode lub wycofać je z dostępu do danych firmy | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Sprawdzić prywatne urządzenia używane do pracy (BYOD) z dostępem do poczty firmowej | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Ustawić w MDM minimalną wersję systemu wymaganą do dostępu do poczty i aplikacji firmowych | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zmienić procedurę: priorytet łatki ustalać na podstawie opisu skutku i wpisu w KEV, nie samej liczby CVSS | Do 30 dni | CTO |
Apple wydał poprawki dla wszystkich wymienionych systemów. Starsze urządzenia, które nie dostają już wersji z poprawką, wymagają decyzji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Lockdown Mode (zalecany przez Google, gdy aktualizacja jest niemożliwa) | Wysoka wobec łańcuchów ataków przez przeglądarkę | Średnia: część funkcji przestaje działać |
Odcięcie niezaktualizowanych urządzeń od poczty i danych firmy przez MDM | Wysoka dla danych firmy | Średnia: wymaga MDM |
Wymiana urządzeń bez wsparcia na nowsze | Wysoka | Trudna: koszt zakupu |
Instalowanie aplikacji wyłącznie z App Store | Niska wobec tego łańcucha (wejście przez stronę WWW) | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jądro systemu | Możliwe do przejęcia po wejściu na urządzenie | Luka załatana |
Wiedza o flocie urządzeń | Nikt nie wie, kto ma jaką wersję | Lista wersji w MDM |
Urządzenia bez wsparcia | Pracują jak inne | Lockdown Mode, odcięte lub wymienione |
Kolejka łatek | Sortowana po liczbie CVSS | Uwzględnia KEV i opis skutku |
Zgodność z terminem CISA | Zaległość od 3 kwietnia 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Google opisuje użycie w łańcuchu DarkSword |
Grupy przestępcze | Wg Google łańcuch DarkSword wykorzystywali komercyjni dostawcy narzędzi inwigilacji i podejrzewani aktorzy państwowi, m.in. UNC6748, PARS Defense i UNC6353 (podejrzewana rosyjska grupa szpiegowska) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.5 ŚREDNIA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie |
Liczba atakowanych firm | Brak publicznych informacji; Google opisuje cele w Arabii Saudyjskiej, Turcji, Malezji i Ukrainie |
Prognoza EPSS | Około 0,4% (wg analizy źródłowej); niska wartość typowa dla luk lokalnych używanych w atakach celowanych |
Inne rejestry | Europejska baza ENISA odnotowuje tę samą datę potwierdzonego wykorzystania |
Sygnały zagrożenia dla CVE-2025-43520
CVSS 3.1 (NVD/CISA) 5.5/10 ███████████░░░░░░░░░ ŚREDNIA
Skutek wg CISA (SSVC) total ████████████████████ CAŁKOWITY
CISA KEV TAK ████████████████████ ataki potwierdzone
EPSS (wg źródła) ~0,4% ░░░░░░░░░░░░░░░░░░░░ ataki celowane
Poprawka dostępna TAK ████████████████████ od listopada 2025
Mogę Ci jakoś pomóc?
2025-11-03 Apple wydaje pierwsze aktualizacje z poprawką (wg źródła)
2025-11-05 Kolejne aktualizacje z poprawką (wg źródła)
2025-11 Google obserwuje pierwsze użycia łańcucha DarkSword
2025-12-12 Apple dopisuje opis luki do biuletynów, publikacja w NVD
2026-03-20 CISA dodaje lukę do katalogu KEV
2026-04-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple z poprawkami: iOS i iPadOS , kolejne biuletyny 125633 , 125634 , 125635 , 125636 , 125637 , 125638 , 125639 . Analiza Google: DarkSword iOS exploit chain . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-43520 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zaktualizować własny telefon, tablet i komputer do najnowszej wersji | Każdy członek zarządu | DZISIAJ |
2 | Uzyskać raport z MDM: ile urządzeń Apple ma wersję bez poprawki | CTO | DZISIAJ |
3 | Zatwierdzić wymuszenie aktualizacji i odcięcie urządzeń bez poprawki od danych firmy | CTO | DO JUTRA |
4 | Wskazać osoby szczególnie narażone (zarząd, negocjatorzy, praca z zagranicą) i rozważyć dla nich Lockdown Mode | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę urządzeń, które nie dostają już poprawek | CFO | DO JUTRA |
6 | Sprawdzić, czy firma ma MDM; jeśli nie, zlecić wycenę wdrożenia | CFO | DO JUTRA |
7 | Zmienić zasady priorytetyzacji łatek z „według CVSS” na „KEV i opis skutku” | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile firmowych urządzeń Apple ma system starszy niż wersje z poprawką? | [liczba] | 🔴 |
2 | Kiedy wszystkie urządzenia zarządu zostały zaktualizowane? | [data] | 🔴 |
3 | Czy mamy MDM, który pokazuje wersje systemów i wymusza aktualizacje? | TAK / NIE | 🔴 |
4 | Które urządzenia nie dostają już aktualizacji od Apple? | [lista] | 🟠 |
5 | Czy prywatne urządzenia z dostępem do poczty firmowej są sprawdzane? | TAK / NIE | 🟠 |
6 | Czy dla osób szczególnie narażonych rozważono Lockdown Mode? | TAK / NIE | 🟡 |
7 | Czy nasza procedura łatania uwzględnia wpisy w CISA KEV niezależnie od oceny CVSS? | TAK / NIE | 🟡 |
CVE-2025-43520 to luka w jądrze systemów Apple, która w łańcuchu DarkSword dawała napastnikom pełną kontrolę nad urządzeniem. Mimo oceny 5.5 skutek jest całkowity, CISA potwierdza ataki, a poprawki są dostępne od listopada 2025 roku. Aktualizacja urządzeń, szczególnie zarządu, i kontrola wersji w MDM zamykają to ryzyko.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.