Stary silnik stron WebKit w iOS, iPadOS, macOS i Safari pozwala przejąć urządzenie przez wizytę na przejętej stronie. CISA potwierdza ataki. Sprawdź wersje systemów i zaktualizuj dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają służbowych iPhone'ów, iPadów lub komputerów Mac. Werdykt: jeśli któreś urządzenie ma iOS lub iPadOS starszy niż 16.6 (albo 15.8.7 na starszym sprzęcie) lub macOS starszy niż Ventura 13.5, zaktualizuj je dziś albo wycofaj z pracy z internetem, bo sama wizyta na przejętej stronie wystarczy do ataku, a CISA potwierdza wykorzystanie luki.
Amerykańska agencja CISA 5 marca 2026 roku dopisała podatność CVE-2023-43000 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w WebKit, silniku wyświetlającym strony internetowe w Safari i we wszystkich aplikacjach na urządzeniach Apple, które pokazują treść z sieci. Spreparowana strona może uszkodzić pamięć urządzenia i posłużyć do jego przejęcia.
Sprawa ma nietypową historię. Apple wydało poprawkę już 24 lipca 2023 roku, ale numer tej luki ujawniło dopiero w listopadzie 2025 roku, więc przez ponad dwa lata żaden skaner nie mógł jej zgłosić. Zespół Google Threat Intelligence Group opisał wykorzystanie luki w zestawie narzędzi atakującym iPhone'y przez przejęte, legalne strony internetowe. Termin naprawy wg CISA minął 26 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-43000 (w europejskiej bazie ENISA: EUVD-2023-47421) |
Data dodania do CISA KEV | 2026-03-05 |
Termin naprawy wg CISA | 2026-03-26 (21 dni od wpisu) |
Produkt | Apple: iOS, iPadOS, macOS i przeglądarka Safari (silnik WebKit); ten sam błąd łatano też w linuksowej wersji silnika (np. Red Hat Enterprise Linux) |
Wersje zagrożone | iOS i iPadOS starsze niż 15.8.7 oraz od 16.0 do wersji sprzed 16.6; macOS starszy niż Ventura 13.5; Safari starsze niż 16.6 |
Wersje bezpieczne | iOS i iPadOS 16.6 lub nowsze (poprawka z 24.07.2023); dla starszych urządzeń bez aktualizacji do 16: iOS i iPadOS 15.8.7 (wydane 11.03.2026); macOS Ventura 13.5 lub nowszy; Safari 16.6 lub nowsze. Zalecane jest najnowsze wydanie systemu dostępne dla danego urządzenia |
Typ podatności | Użycie pamięci po jej zwolnieniu przy przetwarzaniu treści stron; CWE-416 (use-after-free) |
Ocena CVSS | 8.8/10 (CVSS 3.1, WYSOKA) wg NVD i CISA; Red Hat również 8.8. Atak przez sieć, bez logowania, wymaga, by użytkownik otworzył spreparowaną treść |
Wyobraź sobie ulubiony sklep przy ulicy, do którego pracownicy chodzą od lat. Witryna wygląda jak zawsze, szyld ten sam, sprzedawca ten sam. Nikt nie wie, że nocą ktoś podmienił jedną z przymierzalni i kilku wybranych klientów, rozpoznanych po wyglądzie, kieruje do niej, by wyciągnąć im klucze z kieszeni. Pozostali robią zakupy jak zwykle i niczego nie zauważają.
Tak wyglądał opisany przez Google atak. Napastnicy przejęli prawdziwe strony internetowe i dodali do nich niewidoczny element, który wybranym użytkownikom iPhone'ów z określonej lokalizacji podawał złośliwą treść. Stary silnik WebKit, przetwarzając ją, sięgał do pamięci, którą już zwolnił, a to otwierało drogę do uruchomienia kodu napastnika. Wystarczyło wejść na stronę, bez klikania w załączniki i bez pytania o zgodę.
💡 WebKit to silnik, który na urządzeniach Apple zamienia kod strony w to, co widać na ekranie; używają go Safari i aplikacje wyświetlające treści z sieci. Use-after-free to błąd, w którym program korzysta z fragmentu pamięci, który już oddał, co napastnik może wykorzystać do podstawienia własnych danych. Tryb Lockdown to wbudowany w systemy Apple tryb ograniczający funkcje urządzenia dla osób narażonych na ukierunkowane ataki. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik odwiedza znaną branżową stronę | Strona się wyświetla | Strona się wyświetla, a przejęta może w tle zaatakować urządzenie |
Adres i certyfikat strony | Prawidłowe, więc strona jest bezpieczna | Nadal prawidłowe, bo właściciel strony nie wie o włamaniu |
Lista „zaufanych stron” w firmie | Chroni przed podejrzanymi adresami | Nie pomaga, bo atak idzie przez zaufaną stronę |
Raport skanera podatności do listopada 2025 | Brak uwag | Brak uwag, choć urządzenie było podatne |
Urządzenie z trybem Lockdown | Działa z ograniczeniami | Wg Google opisany zestaw narzędzi przerywał działanie |
źródło: Pexels, Lisa FotiosPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na metodzie opisanej przez Google. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak przychodzi przez sieć i nie wymaga konta, ale ofiara musi otworzyć przygotowaną treść, najczęściej po prostu odwiedzając przejętą stronę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przejęcie strony | T+0 | Włamanie na legalną, popularną w danej grupie stronę internetową | Zaufana strona pod kontrolą napastnika |
2. Osadzenie pułapki | T+kilka godzin | Dodanie niewidocznej ramki wczytującej treść z obcego serwera | Strona dalej działa normalnie dla odwiedzających |
3. Selekcja ofiar | T+dni do tygodni | Podawanie złośliwej treści tylko wybranym urządzeniom Apple z określonej lokalizacji | Atak trudny do zauważenia i zbadania |
4. Wykorzystanie luki | T+sekundy od wejścia | Stary WebKit przetwarza treść, dochodzi do uszkodzenia pamięci | Kod napastnika działa na urządzeniu |
5. Przejęcie danych | T+minuty do godzin | Dalsze kroki zestawu narzędzi: dostęp do wiadomości, kontaktów, lokalizacji, haseł | Poufne dane pracownika i firmy u napastnika |
6. Długotrwała obserwacja | T+tygodnie | Ciche monitorowanie urządzenia | Wyciek rozmów, planów i danych klientów |
Telefony i tablety menedżerów mają dostęp do poczty, kalendarza, komunikatorów i często do systemów finansowych. Atak przez zwykłą stronę internetową omija szkolenia z phishingu, bo nie ma czego klikać. Dodatkowo ta luka przez dwa lata była niewidoczna dla skanerów, więc urządzenia, które „przeszły audyt”, mogły być podatne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub reset przejętych urządzeń, odcięcie dostępu do systemów | Dni od wykrycia | 5 tys. do 50 tys. PLN (sprzęt, konfiguracja, czas IT) |
Bezpieczeństwo danych | Wyciek poczty, kontaktów, dokumentów i haseł z urządzenia mobilnego | Minuty do godzin od wizyty na stronie | 30 tys. do 250 tys. PLN (analiza urządzeń, zmiana haseł) |
Finansowy | Oszustwa z użyciem przejętej korespondencji, np. podmiana numeru konta w fakturze | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli wyciekną negocjacje lub dane | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzenia Apple z systemem
starszym niż iOS 16.6 / 15.8.7 lub macOS 13.5
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla niezaktualizowanego urządzenia ryzyko jest wysokie, bo wystarczy wizyta na przejętej stronie, a istnieje gotowy zestaw narzędzi wykorzystywany w atakach; nie jest maksymalne, bo opisane ataki były ukierunkowane na wybrane osoby, a większość firmowych urządzeń ma dziś dużo nowsze wydania systemu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w systemie zarządzania urządzeniami (MDM) lub ręcznie wersje iOS, iPadOS i macOS wszystkich służbowych urządzeń | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować urządzenia do najnowszego dostępnego wydania (co najmniej iOS/iPadOS 16.6 lub 15.8.7, macOS Ventura 13.5) | Dziś | Administrator IT / użytkownicy |
3 | 🟠 PILNIE | Urządzenia, których nie da się zaktualizować, wycofać z przeglądania internetu i poczty albo włączyć na nich tryb Lockdown | Do 3 dni | Kierownik IT |
4 | 🟠 PILNIE | Spisać urządzenia z wbudowanym silnikiem stron (terminale, kioski, ekrany) i zapytać dostawców o aktualizacje bezpieczeństwa | Do 7 dni | Kierownik IT / zakupy |
5 | 🟠 PILNIE | Na serwerach i stacjach z Linuksem sprawdzić, czy pakiety silnika WebKit (np. webkit2gtk) mają aktualizacje producenta dystrybucji | Do 7 dni | Administrator systemów |
6 | 🟡 WAŻNIE | Wprowadzić zasadę: służbowe urządzenia mają najnowsze wydanie systemu, a wyjątki są zapisane i uzasadnione | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wymusić minimalną wersję systemu przy dostępie do poczty i systemów firmowych | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych systemów, także dla starszych urządzeń (iOS i iPadOS 15.8.7). Urządzenie, które nie może przyjąć żadnej z tych wersji, nie dostanie już poprawki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Tryb Lockdown (zalecany przez Google dla urządzeń bez aktualizacji) | Wysoka wobec opisanego zestawu narzędzi | Łatwa, ale ogranicza część funkcji stron i wiadomości |
Wycofanie urządzenia z przeglądania internetu i ograniczenie do jednej funkcji | Wysoka | Średnia: wymaga zmiany sposobu pracy |
Blokada dostępu do poczty i systemów firmowych dla urządzeń ze starym systemem (MDM) | Średnia: nie chroni urządzenia, ale chroni dane firmy | Średnia |
Filtrowanie ruchu internetowego (DNS, proxy) | Niska: atak idzie przez legalne strony | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje systemów | Nieznane, możliwe sprzed lipca 2023 | Spisane i aktualne |
Wizyta na przejętej stronie | Może przejąć urządzenie | Luka zamknięta |
Stare urządzenia | Pracują z internetem bez poprawek | Zaktualizowane do 15.8.7, w trybie Lockdown lub wycofane |
Kioski i terminale | Poza kontrolą | Spisane, z deklaracją dostawcy o aktualizacjach |
Zasada aktualizacji | Reakcja na raport skanera | Najnowsze wydanie systemu jako standard |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Google opisał zestaw narzędzi atakujący iPhone'y przez przejęte ukraińskie strony internetowe |
Grupy przestępcze | Brak publicznych informacji o przypisaniu do konkretnej grupy w materiałach źródłowych |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, NVD i CISA; Red Hat również 8.8) |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie ataku; istnieje zestaw narzędzi opisany przez Google |
Liczba atakowanych firm | Brak publicznych informacji; ataki były ukierunkowane na wybranych użytkowników |
Poprawka w Linuksie | Red Hat Enterprise Linux 8: 22 maja 2024 roku; wersje z przedłużonym wsparciem: 14 listopada 2024 roku |
Prognoza EPSS | Ok. 4% szansy próby wykorzystania w ciągu 30 dni, percentyl ok. 89,5 (wg analizy źródłowej) |
Lekcja z tej sprawy: CISA 6 listopada 2025 roku oceniała wykorzystanie jako „brak”, a 5 marca 2026 roku jako „aktywne”. Katalogi opisują stan wiedzy z danego dnia, dlatego bezpieczniejsza jest zasada aktualnych systemów niż czekanie na potwierdzenie ataków.
Sygnały zagrożenia dla CVE-2023-43000
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~4% █░░░░░░░░░░░░░░░░░░░ percentyl ~89,5
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Poprawka dostępna TAK od lipca 2023 (15.8.7 od marca 2026) 2023-07-24 Apple wydaje iOS/iPadOS 16.6, Safari 16.6, macOS Ventura 13.5 (bez ujawnienia CVE)
2024-05-22 Red Hat publikuje poprawiony pakiet dla RHEL 8
2024-11-14 Poprawka dla wersji RHEL z przedłużonym wsparciem
2025-11-05 Publikacja CVE-2023-43000 w NVD
2025-11-06 CISA ocenia wykorzystanie jako brak
2025-11-11 Apple dopisuje numer CVE do biuletynów z 2023 roku
2026-03-05 CISA zmienia ocenę na aktywne i dodaje lukę do KEV
2026-03-11 Apple wydaje iOS i iPadOS 15.8.7 dla starszych urządzeń
2026-03-26 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalne biuletyny producenta: support.apple.com/en-us/120324 , support.apple.com/en-us/120331 , support.apple.com/en-us/120338 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-43000 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę służbowych urządzeń Apple z wersjami systemu | CTO | DZISIAJ |
2 | Potwierdzić aktualizację urządzeń zarządu i działu finansów | CTO | DZISIAJ |
3 | Zdecydować o losie urządzeń, które nie przyjmą poprawki: tryb Lockdown, ograniczenie lub wymiana | CTO | DO JUTRA |
4 | Sprawdzić, czy prywatne urządzenia pracowników z dostępem do poczty firmowej też są aktualne | CTO | DO JUTRA |
5 | Oszacować budżet na wymianę urządzeń bez wsparcia producenta | CFO | DO JUTRA |
6 | Zapytać dostawców kiosków i terminali o aktualizacje silnika stron | CTO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje urządzenia mobilne i jakie stawia wymagania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja iOS lub iPadOS na służbowych urządzeniach? | [wersja] | 🔴 |
2 | Czy wszystkie komputery Mac mają macOS Ventura 13.5 lub nowszy? | TAK / NIE | 🔴 |
3 | Ile urządzeń nie może przyjąć nowszego wydania systemu niż 15.x? | [liczba] | 🔴 |
4 | Czy mamy system MDM wymuszający minimalną wersję systemu? | TAK / NIE | 🟠 |
5 | Czy prywatne urządzenia z pocztą firmową są objęte kontrolą wersji? | TAK / NIE | 🟠 |
6 | Czy w firmie działają kioski, terminale lub ekrany z wbudowanym silnikiem stron? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio sprawdzano aktualizacje pakietów WebKit na serwerach z Linuksem? | [data] | 🟡 |
CVE-2023-43000 to luka w silniku stron WebKit, która pozwala przejąć niezaktualizowane urządzenie Apple przez wizytę na przejętej, legalnej stronie. Poprawka istnieje od lipca 2023 roku, a dla starszych urządzeń od marca 2026 roku, CISA potwierdza ataki, więc wystarczy dziś sprawdzić wersje systemów i zaktualizować lub wycofać urządzenia, które odstają.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.