Błąd w obsłudze dźwięku systemów Apple pozwalał wykonać kod po samym przetworzeniu spreparowanego pliku. Użyty w atakach na wybrane osoby. Zaktualizuj iOS, iPadOS, macOS, tvOS, visionOS i watchOS.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają iPhone'ów, iPadów, komputerów Mac, Apple Watch lub Apple TV, zwłaszcza do korespondencji handlowej i bankowości. Werdykt: jeśli urządzenie ma system starszy niż iOS/iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1, visionOS 2.4.1 lub watchOS 11.5, zaktualizuj je dziś, bo luka była użyta w wyrafinowanych atakach na wybrane osoby.
Amerykańska agencja CISA 17 kwietnia 2025 roku, dzień po wydaniu poprawki, dopisała podatność CVE-2025-31200 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w składniku systemów Apple obsługującym dźwięk: przetworzenie przez urządzenie spreparowanego pliku multimedialnego może doprowadzić do wykonania obcego kodu. Właściciel nie musi niczego odtwarzać, bo system analizuje plik sam, np. tworząc podgląd.
Apple wydało aktualizację poza zwykłym harmonogramem i podało, że luka mogła zostać użyta w wyjątkowo wyrafinowanym ataku na konkretne osoby. Zgłoszenie przyszło od Apple i od zespołu Google śledzącego operacje służb państwowych. Termin naprawy wg CISA minął 8 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-31200 |
Data dodania do CISA KEV | 2025-04-17 |
Termin naprawy wg CISA | 2025-05-08 (21 dni od wpisu) |
Produkt | Apple iOS, iPadOS, macOS, tvOS, visionOS, watchOS (składnik obsługi dźwięku) |
Wersje zagrożone | iOS i iPadOS przed 18.4.1 (iPhone XS i nowsze, iPad Pro, iPad Air 3. gen. i nowsze, iPad 7. gen. i nowsze, iPad mini 5. gen. i nowsze), macOS Sequoia 15.0 do 15.4, tvOS przed 18.4.1 (Apple TV HD i 4K), visionOS przed 2.4.1 (Apple Vision Pro), watchOS przed 11.5 (Apple Watch Series 6 i nowsze). Warunek: plik musi dotrzeć na urządzenie |
Wersje bezpieczne | iOS 18.4.1, iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1, visionOS 2.4.1 (16 kwietnia 2025 roku), watchOS 11.5 (późniejsze wydanie) lub nowsze |
Typ podatności | Uszkodzenie pamięci (naprawione lepszym sprawdzaniem granic); NVD: przekroczenie granic bufora; katalog CISA bez przypisanego CWE |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena uzupełniająca CISA). Apple nie podało oceny liczbowej, NVD nie wystawiła własnej |
Wyobraź sobie papierowy formularz, w którym rubryka na nazwisko ma dwadzieścia kratek. Ktoś wpisuje sześćdziesiąt znaków, nie zatrzymując pióra na krawędzi, więc nadmiar ląduje w rubrykach obok i nadpisuje kwotę oraz numer konta. W pamięci urządzenia dzieje się to samo, tyle że w sąsiedniej „rubryce” leży informacja o tym, co program ma zrobić dalej.
Składnik dźwięku w systemach Apple zagląda do każdego pliku audio lub wideo, żeby pokazać długość nagrania, miniaturę czy podgląd w komunikatorze. Spreparowany plik z odpowiednio wyliczonym „nadmiarem” danych powodował, że urządzenie wykonywało kod napastnika. Właściciel o niczym nie wiedział, bo niczego nie klikał.
💡 Uszkodzenie pamięci to błąd, w którym program zapisuje dane poza przeznaczonym miejscem. Sprawdzanie granic to kontrola, czy dane mieszczą się w przygotowanym obszarze. Atak celowany jest wymierzony w wybrane osoby, a nie w przypadkowych użytkowników. Aktualizacja poza harmonogramem to poprawka wydana pilnie, bez czekania na zwykły cykl. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otrzymanie pliku audio w komunikatorze | Podgląd i nic więcej | Urządzenie może wykonać kod napastnika |
Kliknięcie lub odtworzenie pliku | Potrzebne, żeby coś się stało | Niepotrzebne, system analizuje plik sam |
Telefon zaktualizowany, zegarek nie | Oba urządzenia bezpieczne | Zegarek podatny do watchOS 11.5 |
Korespondencja ofertowa w telefonie | Widoczna tylko dla właściciela | Może być czytana przez miesiące |
Ślad po ataku | Zwykle zauważalna awaria | Brak objawów |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Apple mówi o wyjątkowo wyrafinowanym ataku na konkretne osoby, a zgłoszenie od zespołu śledzącego operacje państwowe wskazuje na narzędzie do inwigilacji, a nie do masowych oszustw. CISA nie potwierdza związku z ransomware.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Wybór osoby z dostępem do wartościowych informacji (zarząd, kancelaria, podwykonawca strategicznego kontraktu) | Cel i numer lub adres kontaktowy |
2. Dostarczenie pliku | T+godziny | Wysłanie spreparowanego pliku audio lub wideo przez komunikator, pocztę lub stronę | Plik na urządzeniu |
3. Wykonanie kodu | T+sekundy | System analizuje plik (podgląd, miniatura) i wywołuje błąd | Kod napastnika działa na urządzeniu |
4. Utrwalenie | T+minuty | Połączenie z innymi technikami w celu obejścia zabezpieczeń systemu i zainstalowania narzędzia szpiegującego | Stały, ukryty dostęp |
5. Inwigilacja | T+dni do miesięcy | Odczyt wiadomości, poczty, kontaktów, lokalizacji | Pełna wiedza o korespondencji celu |
6. Wykorzystanie | T+miesiące | Wykorzystanie informacji, np. cen ofertowych w przetargu | Przegrany przetarg, wyciek tajemnic firmy |
Dla większości małych firm ryzyko bycia celem takiej operacji jest niskie. Wyjątkiem są firmy mające dostęp do czegoś cennego dla zamawiającego: podwykonawcy w sektorach strategicznych, kancelarie, biura projektowe infrastruktury. W ich przypadku szkoda nie wygląda jak incydent, tylko jak przegrany przetarg.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub przywrócenie przejętych urządzeń, zmiana haseł i kont | Dni | 5 tys. do 50 tys. PLN (sprzęt, czas IT) |
Bezpieczeństwo danych | Wyciek korespondencji, dokumentów, kontaktów i lokalizacji | Dni do miesięcy | 20 tys. do 200 tys. PLN (analiza urządzeń przez specjalistów) |
Finansowy | Przegrane przetargi i negocjacje, utracone kontrakty | Miesiące | 50 tys. do 1 mln PLN, zależnie od wartości kontraktów |
Reputacyjny | Utrata zaufania klientów i partnerów, którzy powierzają firmie poufne informacje | Miesiące | 50 tys. do 500 tys. PLN (utracone relacje) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; naruszenie umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z urządzeniami Apple bez aktualizacji
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE (WYSOKIE dla celów strategicznych)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (ukryte przejęcie urządzenia i długotrwała inwigilacja), ale dla typowej firmy prawdopodobieństwo jest niskie, bo atak był celowany; dla firm i osób z dostępem do strategicznych informacji prawdopodobieństwo rośnie wyraźnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować iPhone'y, iPady i komputery Mac zarządu, finansów i handlowców | Dziś | Pracownicy / dział IT |
2 | 🔴 NATYCHMIAST | Sprawdzić wersje systemu na wszystkich urządzeniach Apple w firmie | Dziś | Dział IT |
3 | 🟠 PILNIE | Zaktualizować Apple Watch (watchOS 11.5), Apple TV w salach konferencyjnych i Apple Vision Pro | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Włączyć automatyczne aktualizacje systemu na wszystkich urządzeniach Apple | Do 7 dni | Dział IT |
5 | 🟠 PILNIE | Dla osób narażonych na ataki celowane rozważyć włączenie trybu blokady (Lockdown Mode) | Do 7 dni | CTO |
6 | 🟡 WAŻNIE | Wymienić urządzenia, które nie mogą zainstalować wersji z poprawką | Do 30 dni | CFO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: urządzenia z korespondencją handlową aktualizowane od razu, nie na koniec kwartału | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych systemów i jest to jedyny środek podany przez producenta. CISA wymaga zastosowania zaleceń producenta albo zaprzestania używania urządzenia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Tryb blokady (Lockdown Mode) na urządzeniach osób szczególnie narażonych | Średnia do wysokiej wobec ataków celowanych, ogranicza obsługę części treści | Łatwa, ale zmniejsza wygodę |
Przeniesienie poczty i komunikacji służbowej z urządzenia, którego nie da się zaktualizować | Wysoka | Średnia |
Ostrożność wobec plików audio i wideo od nieznanych nadawców | Niska: podgląd tworzy się automatycznie | Łatwa |
Wymiana urządzenia na model obsługujący aktualny system | Wysoka | Trudna finansowo |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje systemów Apple | Różne, część sprzed kwietnia 2025 roku | iOS/iPadOS 18.4.1, macOS 15.4.1, watchOS 11.5 lub nowsze |
Zegarki i Apple TV | Pominięte przy aktualizacjach | Zaktualizowane |
Automatyczne aktualizacje | Wyłączone lub nieznane | Włączone na wszystkich urządzeniach |
Osoby szczególnie narażone | Bez dodatkowej ochrony | Z trybem blokady |
Status wobec terminu CISA | Zaległość od 8 maja 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Apple: możliwe użycie w wyjątkowo wyrafinowanym ataku na konkretne osoby |
Grupy przestępcze | Brak publicznych informacji o sprawcach; zgłoszenie od Apple i zespołu Google śledzącego operacje państwowe |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena uzupełniająca CISA); Apple i NVD nie podały własnych ocen |
PoC dostępny publicznie? | Istnieją publiczne analizy techniczne podlinkowane w NVD; działającego exploita nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji; atak opisany jako wymierzony w konkretne osoby |
Powiązana luka | CVE-2025-31201, załatana w tej samej aktualizacji z 16 kwietnia 2025 roku |
Prognoza EPSS | Około 19,7%, wyżej niż 97% znanych luk (wg analizy źródłowej) |
Ocena 9.8 zakłada brak udziału użytkownika, a opis Apple mówi o przetworzeniu pliku. Obie informacje się uzupełniają: właściciel niczego nie klika, ale plik musi dotrzeć na urządzenie.
Sygnały zagrożenia dla CVE-2025-31200
CVSS 3.1 (CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~19,7% ████░░░░░░░░░░░░░░░░ wyżej niż 97% luk
Atak celowany TAK ████████████████████ wybrane osoby
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka poza cyklem TAK ████████████████████ pilna 2025-04-16 Apple wydaje iOS/iPadOS 18.4.1, macOS 15.4.1, tvOS 18.4.1,
visionOS 2.4.1; publikacja CVE w NVD
2025-04-17 CISA dodaje lukę do katalogu KEV
2025-05-08 Termin naprawy wg CISA dla agencji federalnych
2025-05 watchOS 11.5 z poprawką (osobne wydanie)
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalne biuletyny Apple: iOS i iPadOS 18.4.1 , macOS Sequoia 15.4.1 , tvOS 18.4.1 , visionOS 2.4.1 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-31200 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić zarządowi i finansom natychmiastową aktualizację telefonów i komputerów Apple | CTO | DZISIAJ |
2 | Zlecić listę wszystkich urządzeń Apple w firmie z wersją systemu, łącznie z zegarkami i Apple TV | CTO | DZISIAJ |
3 | Ustalić, czy firma ma osoby lub projekty szczególnie narażone na ataki celowane | CTO | DO JUTRA |
4 | Zatwierdzić tryb blokady dla osób szczególnie narażonych | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę urządzeń bez aktualnego systemu | CFO | DO JUTRA |
6 | Sprawdzić, czy umowy o poufności z klientami nakładają obowiązki dotyczące zabezpieczenia urządzeń | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń Apple jest w firmie i jakie mają wersje systemu? | [liczba / wersje] | 🔴 |
2 | Czy telefony i komputery zarządu mają iOS 18.4.1 / macOS 15.4.1 lub nowsze? | TAK / NIE | 🔴 |
3 | Czy Apple Watch mają watchOS 11.5 lub nowszy? | TAK / NIE | 🟠 |
4 | Czy Apple TV w salach konferencyjnych są aktualizowane? | TAK / NIE | 🟠 |
5 | Czy automatyczne aktualizacje są włączone na wszystkich urządzeniach Apple? | TAK / NIE | 🟠 |
6 | Czy są urządzenia, które nie mogą zainstalować wersji z poprawką? | TAK / NIE, [lista] | 🟠 |
7 | Czy ktoś w firmie korzysta z trybu blokady? | TAK / NIE | 🟡 |
CVE-2025-31200 w składniku dźwięku systemów Apple pozwalała wykonać kod na urządzeniu po samym przetworzeniu spreparowanego pliku, bez żadnej akcji właściciela, i była użyta w atakach na wybrane osoby. Poprawki są dostępne od kwietnia 2025 roku, więc dziś trzeba zaktualizować urządzenia zarządu i finansów, a w najbliższych dniach także zegarki, Apple TV i pozostały sprzęt Apple.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.