Błąd w obsłudze obrazów w systemach Apple pozwala spreparowanym plikiem graficznym uszkodzić pamięć urządzenia. CISA potwierdza wykorzystanie. Zaktualizuj iPhone'y, iPady i Maki, zaczynając od stanowisk odbierających zdjęcia.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają iPhone'ów, iPadów lub komputerów Mac, zwłaszcza do odbierania zdjęć i załączników od klientów. Werdykt: jeśli którekolwiek urządzenie Apple ma system starszy niż wersje z poprawką wymienione poniżej, zaktualizuj je dziś, bo spreparowany plik obrazu może uszkodzić pamięć urządzenia, a luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 21 sierpnia 2025 roku, w dniu publikacji opisu, dopisała CVE-2025-43300 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy składnika Image I/O w systemach iOS, iPadOS i macOS, który przetwarza pliki graficzne. Przetworzenie złośliwie przygotowanego obrazu może doprowadzić do zapisu danych poza przydzielonym miejscem w pamięci, a to klasa błędów, z której najczęściej wyrasta przejęcie urządzenia.
Apple podało, że wie o możliwym wykorzystaniu luki w wyjątkowo wyrafinowanym ataku na wybrane osoby. W listopadzie 2025 roku CISA oceniła jednak atak jako możliwy do automatyzacji, a w sieci jest publiczna analiza techniczna. Termin CISA minął 11 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-43300 (w europejskiej bazie EUVD-2025-25409) |
Data dodania do CISA KEV | 2025-08-21 |
Termin naprawy wg CISA | 2025-09-11 (21 dni od wpisu) |
Produkt | Apple iOS, iPadOS i macOS, składnik Image I/O (obsługa plików graficznych) |
Wersje zagrożone | iOS i iPadOS starsze niż 15.8.5; 16.0 do 16.7.12 (bez niej); iPadOS 17.0 do 17.7.10 (bez niej) i 18.0 do 18.6.2 (bez niej); iOS 17.0 do 18.6.2 (bez niej); macOS Ventura 13 przed 13.7.8, Sonoma 14 przed 14.7.8, Sequoia 15 przed 15.6.1 |
Wersje bezpieczne | iOS i iPadOS 15.8.5, 16.7.12, 18.6.2; iPadOS 17.7.10; macOS Sequoia 15.6.1, Sonoma 14.7.8, Ventura 13.7.8. iPhone na iOS 17 nie ma poprawki w tej linii, trzeba przejść na nowszą. Zalecana jest najnowsza wersja systemu dostępna dla urządzenia |
Typ podatności | Zapis poza granicami bufora przy przetwarzaniu obrazu, uszkodzenie pamięci; CWE-787 (klasyfikacja CISA) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1), wystawiona przez CISA w programie uzupełniania danych; Apple i NVD nie wystawiły własnej oceny, ENISA powtarza ocenę CISA. Założenie o braku udziału użytkownika jest kwestionowane w publicznym zgłoszeniu w repozytorium CISA |
Wyobraź sobie magazyn z regałem na dziesięć pozycji i pracownika, który układa towar według listy przewozowej. Lista mówi: pozycja jedenasta na ten regał. Pracownik nie sprawdza, ile jest miejsc, tylko odlicza, więc jedenasty przedmiot ląduje na sąsiednim regale i przykrywa to, co tam leżało. Nadawca listy, który wie, co leży obok, może w ten sposób celowo podmienić cudzy towar.
Plik zdjęcia to dla urządzenia nie tylko obraz, ale też zestaw liczb z instrukcją, jak je poskładać. Składnik Image I/O w systemach Apple nie sprawdzał dokładnie granic, więc spreparowana „instrukcja” kazała zapisać dane poza przydzielonym miejscem. Napastnik przygotowuje plik tak, by nadpisać dokładnie to, co pozwala mu przejąć sterowanie programem.
💡 Zapis poza granicami bufora (out-of-bounds write) to zapisanie danych w pamięci, która należy do czegoś innego. Uszkodzenie pamięci może prowadzić do awarii programu albo do przejęcia nad nim kontroli. Image I/O to część systemu Apple odpowiedzialna za odczyt i zapis obrazów. Atak ukierunkowany to atak na wybrane osoby, zwykle kosztowny. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otrzymuje zdjęcie od klienta | Zdjęcie się wyświetla | Spreparowany plik może uszkodzić pamięć i otworzyć drogę do przejęcia urządzenia |
Podgląd załącznika w poczcie lub komunikatorze | Bezpieczny odruch | System przetwarza obraz, zanim ktokolwiek oceni, czy jest podejrzany |
Służbowy telefon z pocztą i komunikatorem | Chroni dane logowania i rozmowy | Przejęte urządzenie ujawnia pocztę, rozmowy i dostęp do systemów firmy |
Starszy iPhone na iOS 17 | „Działa, nie ruszamy” | Brak poprawki w tej linii, trzeba przejść na nowszą |
Sprawdzenie dostępności łatki w dniu ogłoszenia | Odpowiedź jest ostateczna | Apple dodało później dwa biuletyny dla starszych linii, odpowiedź mogła się zmienić |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by spreparowany obraz trafił na urządzenie i został przetworzony, np. jako załącznik, wiadomość lub plik na stronie. Pierwsze ataki były według Apple wymierzone w wybrane osoby; CISA ocenia obecnie atak jako automatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T-dni | Stworzenie złośliwego pliku obrazu na podstawie analizy luki | Gotowy „list przewozowy” z błędną instrukcją |
2. Dostarczenie | T+0 min | Wysłanie obrazu mailem, komunikatorem lub umieszczenie na stronie | Plik trafia na urządzenie |
3. Przetworzenie | T+sekundy | System generuje podgląd lub otwiera obraz | Uszkodzenie pamięci w Image I/O |
4. Przejęcie | T+sekundy do minut | Wykorzystanie uszkodzenia do uruchomienia kodu, zwykle w połączeniu z innymi lukami | Kontrola nad aplikacją lub urządzeniem |
5. Kradzież | T+godziny do dni | Odczyt poczty, rozmów, haseł, danych klientów | Dane w rękach napastnika |
6. Dalszy atak | T+dni do tygodni | Podszywanie się pod firmę wobec klientów, dostęp do systemów firmowych | Oszustwa, wyciek, przestój |
Rada „nie otwieraj podejrzanych plików” nie działa w firmach, w których odbieranie zdjęć od obcych osób jest codzienną pracą. Luka jest w samym systemie, więc dotyczy każdej aplikacji, która pokazuje obrazy. Poprawki są darmowe i dostępne od sierpnia 2025 roku, a jedyną przeszkodą bywają stare, nieaktualizowane urządzenia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada i czyszczenie przejętych urządzeń, zmiana haseł, przerwa w pracy pracowników | Dni od wykrycia | 5 tys. do 60 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Wyciek poczty, rozmów, danych klientów i haseł | Godziny od ataku | 20 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Oszustwa wobec klientów i firmy, koszty specjalistów, wymiana starych urządzeń | Tygodnie | 20 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku lub fałszywych wiadomościach | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone zlecenia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezaktualizowanymi urządzeniami Apple
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (przejęcie urządzenia z pocztą i danymi), a prawdopodobieństwo średnie: ataki potwierdzono, EPSS wynosi około 20%, ale pierwsze były ukierunkowane, a ocena 10.0 zakłada brak udziału użytkownika, co jest kwestionowane. Dla firm z aktualnymi systemami ryzyko jest pomijalne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie iPhone'y, iPady i komputery Mac w firmie (także prywatne używane do pracy) z wersją systemu | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować urządzenia do wersji z poprawką lub nowszej, zaczynając od stanowisk odbierających zdjęcia i załączniki od klientów | Dziś | Administrator / użytkownicy |
3 | 🟠 PILNIE | Urządzenia, które wyglądały na nieaktualizowalne, sprawdzić ponownie, bo Apple dodało później poprawki dla starszych linii | Do 3 dni | Administrator |
4 | 🟠 PILNIE | iPhone'y na iOS 17 przenieść na nowszą linię systemu (brak poprawki w linii 17 dla telefonów) | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Wymusić automatyczne aktualizacje systemu przez MDM lub ustawienia urządzeń | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Zaplanować wymianę urządzeń, które nie otrzymują już aktualizacji systemu | Do 90 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Dla osób szczególnie narażonych (zarząd, finanse) rozważyć tryb blokady (Lockdown Mode) | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych linii systemów (siedem biuletynów), więc aktualizacja jest dostępna. Producent nie opisał obejścia. Urządzenia, które nie mogą otrzymać żadnej z wymienionych wersji, należy wycofać z pracy na danych firmowych. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wycofanie urządzeń bez poprawki z pracy z pocztą i danymi firmy | Wysoka | Średnia: wymaga zastępczego sprzętu |
Odbieranie zdjęć od klientów na zaktualizowanym urządzeniu lub w systemie, który nie przetwarza ich na starym sprzęcie | Średnia | Średnia |
Tryb blokady (Lockdown Mode) na urządzeniach osób narażonych | Średnia: ogranicza przetwarzanie niektórych treści, nie zastępuje poprawki | Łatwa, kosztem wygody |
Ostrożność wobec obrazów od nieznanych nadawców | Niska: system może przetworzyć obraz przy samym podglądzie | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje systemów | Nieznane, część urządzeń sprzed poprawki | Wszystkie urządzenia na wersjach z poprawką lub nowszych |
Stare urządzenia | „Nie da się zaktualizować”, sprawdzone raz | Sprawdzone ponownie, bez poprawki wycofane z pracy na danych |
Aktualizacje | Zależne od pracowników | Wymuszane automatycznie |
Stanowiska odbierające zdjęcia | Często najstarszy sprzęt | Zaktualizowane w pierwszej kolejności |
Zgodność z terminem CISA | Zaległość od 11 września 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: możliwe wykorzystanie w wyjątkowo wyrafinowanym ataku na wybrane osoby. Ocena CISA z 27 listopada 2025 roku: wykorzystanie aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, CISA); brak oceny Apple i NVD; ocena kwestionowana w publicznym zgłoszeniu |
PoC dostępny publicznie? | TAK: NVD oznacza publiczną analizę techniczną na GitHubie jako materiał o wykorzystaniu |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 20% szansy wykorzystania w ciągu 30 dni, górne 3% podatności, wartość stabilna (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-43300
CVSS 3.1 (CISA) 10.0/10 ████████████████████ KRYTYCZNA (kwestionowana)
EPSS (analiza źr.) ~20% ████░░░░░░░░░░░░░░░░ WYSOKA (top 3%)
Automatyzacja (CISA) TAK ████████████████████ od listopada 2025
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-08-21 Publikacja CVE-2025-43300 i pierwszych pięciu biuletynów Apple
(iOS/iPadOS 15.8.5, 16.7.12, 18.6.2, iPadOS 17.7.10,
macOS 15.6.1, 14.7.8, 13.7.8)
2025-08-21 CISA dodaje lukę do katalogu KEV
2025-09-11 Termin naprawy wg CISA dla agencji federalnych
później Apple dodaje dwa kolejne biuletyny (125141, 125142)
2025-11-27 Ocena CISA: atak automatyzowalny, skutek całkowity
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple wskazane przez CISA: 124925 , 124926 , 124927 , 124928 , 124929 ; późniejsze: 125141 , 125142 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-43300 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis urządzeń Apple używanych do pracy, z wersjami systemów | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację wszystkich urządzeń | CTO | DZISIAJ |
3 | Wskazać stanowiska odbierające zdjęcia i załączniki od klientów jako priorytet | CTO | DZISIAJ |
4 | Otrzymać listę urządzeń, których nie da się zaktualizować | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę urządzeń bez aktualizacji | CFO | DO JUTRA |
6 | Ustalić zasady używania prywatnych urządzeń do pracy (minimalna wersja systemu) | CFO / CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia wymaga aktualnych systemów na urządzeniach mobilnych | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń Apple jest używanych do pracy i jakie mają wersje systemów? | [liczba], [wersje] | 🔴 |
2 | Czy wszystkie mają wersję z poprawką na CVE-2025-43300 lub nowszą? | TAK / NIE, [lista braków] | 🔴 |
3 | Które urządzenia służą do odbierania zdjęć i plików od klientów? | [lista] | 🔴 |
4 | Czy mamy iPhone'y pozostawione na iOS 17? | TAK / NIE | 🟠 |
5 | Czy aktualizacje systemu są wymuszane centralnie? | TAK / NIE | 🟠 |
6 | Czy prywatne urządzenia z dostępem do poczty firmowej spełniają wymóg aktualnego systemu? | TAK / NIE | 🟠 |
7 | Które urządzenia nie otrzymują już aktualizacji i kiedy je wymienimy? | [lista], [data] | 🟡 |
CVE-2025-43300 to błąd w obsłudze obrazów w iOS, iPadOS i macOS, przez który spreparowany plik graficzny może uszkodzić pamięć urządzenia i otworzyć drogę do jego przejęcia. CISA potwierdza wykorzystanie i ocenia atak jako automatyzowalny, a poprawki Apple są dostępne od sierpnia 2025 roku. Aktualizacja wszystkich urządzeń Apple, zaczynając od tych, które odbierają pliki od klientów, to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.