Błąd w silniku WebKit pozwala przejąć urządzenie po otwarciu spreparowanej strony. Apple mówi o atakach na wybrane osoby, CISA potwierdza wykorzystanie. Zaktualizuj urządzenia Apple do 26.2 i sprawdź WebKitGTK na Linuksie.
Ten alert jest dla zarządu, CTO i CFO firm, które używają iPhone'ów, iPadów, komputerów Mac albo urządzeń z Linuksem wyświetlających strony internetowe (panele, kioski, terminale). Werdykt: zaktualizuj dziś urządzenia Apple do iOS/iPadOS 26.2 lub 18.7.3, macOS Tahoe 26.2 i Safari 26.2, a w tym tygodniu sprawdź pakiet WebKitGTK na Linuksie, bo luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 15 grudnia 2025 roku dopisała podatność CVE-2025-43529 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w WebKit, silniku, który zamienia kod strony internetowej w obraz na ekranie. Do przejęcia urządzenia wystarczy, że wyświetli ono spreparowaną stronę.
Apple informuje o raporcie, według którego luka mogła zostać wykorzystana w wyjątkowo wyrafinowanym ataku na wybrane osoby, na iOS starszym niż iOS 26. W odpowiedzi na ten sam raport wydano też drugi numer, CVE-2025-14174 (w Chromium), co wskazuje na łańcuch ataku. CISA podkreśla, że problem może dotyczyć także produktów innych firm, które używają WebKit. Termin naprawy wg CISA minął 5 stycznia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-43529 |
Data dodania do CISA KEV | 2025-12-15 |
Termin naprawy wg CISA | 2026-01-05 (21 dni od wpisu) |
Produkt | Apple: Safari, iOS, iPadOS, macOS, tvOS, visionOS, watchOS (silnik WebKit); także inne produkty z WebKit, np. pakiet WebKitGTK w dystrybucjach Linuksa |
Wersje zagrożone | Safari przed 26.2; iOS i iPadOS przed 18.7.3 oraz od 26.0 do przed 26.2; macOS od 26.0 do przed 26.2; tvOS, visionOS i watchOS przed 26.2. Linux: WebKitGTK przed 2.50.4 |
Wersje bezpieczne | Safari 26.2, iOS i iPadOS 18.7.3, iOS i iPadOS 26.2, macOS Tahoe 26.2, tvOS 26.2, visionOS 26.2, watchOS 26.2 i nowsze. Linux: WebKitGTK 2.50.4 lub nowszy (Red Hat, Ubuntu 22.04/24.04/25.10, Debian w gałęziach stabilnych pod własnymi oznaczeniami) |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) w WebKit, prowadzące do wykonania kodu; CWE-416 (Red Hat klasyfikuje jako użycie wygasłego wskaźnika) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, ocena CISA przyjęta w NVD); SUSE: 8.6 (nowsza wersja skali); Red Hat: waga Important; Ubuntu: priorytet High. Atak przez sieć, bez logowania, wymaga wyświetlenia strony przez użytkownika |
Wyobraź sobie hotel, w którym karta do pokoju działa jeszcze po wymeldowaniu. Poprzedni gość oddał pokój, obsługa przygotowała go dla nowego gościa, ale stara karta nadal otwiera drzwi. Kto ma taką kartę i wie, kiedy pokój jest pusty, może zostawić tam coś swojego, a nowy lokator uzna to za element wyposażenia.
Tak działa ten błąd w WebKit. Program rezerwuje kawałek pamięci, oddaje go jako niepotrzebny, ale zachowuje adres i po chwili z niego korzysta. W tym czasie w to miejsce „wprowadziło się” coś innego. Napastnik, który potrafi przewidzieć, co tam trafi, podkłada własną zawartość i przejmuje sterowanie. Wystarczy otwarcie strony, np. z odnośnika w wiadomości podszywającej się pod urząd. Filtr poczty tego nie zatrzyma, bo strona staje się groźna dopiero w chwili wyświetlenia.
💡 WebKit to silnik wyświetlania stron używany w Safari, we wszystkich przeglądarkach na iPhonie i w wielu urządzeniach z Linuksem. Użycie po zwolnieniu (use-after-free) to błąd korzystania z pamięci, którą program już oddał. JIT to mechanizm przyspieszający JavaScript, często wykorzystywany w atakach na przeglądarki. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera odnośnik z wiadomości na iPhonie | Strona się wyświetla | Spreparowana strona może uruchomić kod napastnika |
Filtr antyspamowy sprawdza wiadomość | Blokuje znane zagrożenia | Nie widzi zagrożenia, bo strona staje się groźna dopiero po otwarciu |
Komputer bez Safari, z Linuksem i aplikacją na WebKitGTK | Poza zasięgiem „problemów Apple” | Także podatny |
Panel informacyjny lub kiosk z przeglądarką | Wyświetla stały widok | Nieaktualizowany może zostać podatny na lata |
Urządzenie po aktualizacji | Bezpieczne | Bezpieczne |
źródło: Pexels, Liliana DrewPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby użytkownik lub urządzenie wyświetliło przygotowaną treść, więc zaczyna się od wiadomości, odnośnika lub zainfekowanej strony. CISA ocenia, że wykorzystanie nie poddaje się automatyzacji na dużą skalę, a Apple mówi o ataku na wybrane osoby.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni | Ustalenie osób z dostępem do cennych danych: zarząd, księgowość, prawnicy, asystenci | Lista celów i ich urządzeń |
2. Dostarczenie | T+0 min | Wiadomość e-mail, SMS lub komunikator z odnośnikiem do spreparowanej strony | Ofiara otwiera stronę |
3. Wykonanie kodu | T+1 min | Błąd w WebKit uruchamia kod napastnika, często jako element łańcucha z kolejną luką | Obcy kod na telefonie lub komputerze |
4. Utrwalenie i podsłuch | T+godziny | Dostęp do wiadomości, kontaktów, dokumentów, haseł w przeglądarce | Wgląd w pracę i komunikację ofiary |
5. Wykorzystanie dostępu | T+dni | Logowanie do systemów firmy i klientów, czytanie korespondencji | Kradzież umów, danych, poświadczeń |
6. Dalsze działania | T+tygodnie | Oszustwa finansowe, szantaż, atak na większego partnera przez firmę-ofiarę | Straty własne i u klientów |
Telefon zarządu i laptop księgowej to urządzenia z dostępem do najcenniejszych danych firmy. Mała firma bywa celem nie dla siebie samej, ale dla danych swoich klientów. A sprzęt z silnikiem WebKit, którego nikt nie traktuje jak komputera, zostaje z luką najdłużej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie i ponowna konfiguracja urządzeń, wymiana haseł | Dni | 10 tys. do 80 tys. PLN (praca IT, przerwy w pracy) |
Bezpieczeństwo danych | Wyciek poczty, dokumentów, haseł z urządzeń osób kluczowych | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, w tym urządzeń mobilnych) |
Finansowy | Oszustwa na podmianę rachunku, utracone zlecenia | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie gdy wyciek dotyczy ich danych | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i powiadomienia klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń z niezaktualizowanym WebKit
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ wysoki (wykonanie kodu na urządzeniu osoby z dostępem do danych), prawdopodobieństwo średnie, bo atak jest ukierunkowany i wymaga otwarcia strony, choć EPSS plasuje lukę wyżej niż 94% znanych podatności; dla osób kluczowych w firmie ryzyko warto traktować jako wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować iPhone'y i iPady do iOS/iPadOS 26.2 lub nowszego (starsze urządzenia: 18.7.3 lub nowszy), zaczynając od zarządu i księgowości | Dziś | Administrator IT / użytkownicy |
2 | 🔴 NATYCHMIAST | Zaktualizować komputery Mac do macOS Tahoe 26.2 lub nowszego, a Safari do 26.2 lub nowszego na starszych macOS | Dziś | Administrator IT |
3 | 🟠 PILNIE | Sprawdzić serwery i stacje z Linuksem: wersja pakietu WebKitGTK co najmniej 2.50.4 (lub poprawiona wersja dystrybucji) | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Na Red Hat Enterprise Linux 7 usunąć stary pakiet WebKit, którego producent nie naprawi i którego według Red Hat żaden inny pakiet nie wymaga | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Spisać urządzenia wyświetlające treści z sieci (ekrany, kioski, terminale, panele) i zapytać dostawców o wersję silnika i poprawkę | Do 7 dni | Administrator IT / kierownik administracji |
6 | 🟡 WAŻNIE | Włączyć automatyczne aktualizacje na urządzeniach Apple i egzekwować minimalną wersję systemu przy dostępie do poczty firmowej | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom o zasadach otwierania odnośników z wiadomości podszywających się pod urzędy i banki | Do 30 dni | Kierownik biura |
Apple i dystrybucje Linuksa wydały poprawki. Dla urządzeń, których nie da się od razu zaktualizować, Red Hat opisał dwa obejścia; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Niewyświetlanie niezaufanych treści internetowych na podatnym urządzeniu (zalecenie Red Hat) | Wysoka, jeśli da się ją wyegzekwować | Łatwa na panelu z jednym widokiem, trudna na komputerze biurowym |
Wyłączenie JIT JavaScriptu w aplikacjach WebKitGTK zmienną JavaScriptCoreUseJIT=0 (zalecenie Red Hat) | Średnia: utrudnia wykorzystanie, spowalnia działanie | Łatwa na panelach i kioskach, uciążliwa na komputerach biurowych |
Tryb Lockdown (Blokada) na iPhone'ach osób szczególnie narażonych | Średnia: ogranicza funkcje, które często są celem ataków | Łatwa, ale ogranicza wygodę |
Odcięcie nieaktualizowanych paneli i kiosków od reszty sieci firmowej | Średnia: ogranicza skutki | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Telefony i tablety Apple | Część na starszych wersjach | iOS/iPadOS 26.2 lub 18.7.3 i nowsze |
Komputery Mac | macOS 26.0 lub 26.1, stare Safari | macOS Tahoe 26.2 lub Safari 26.2 i nowsze |
Linux z WebKitGTK | Nieznana wersja pakietu | 2.50.4 lub poprawiona wersja dystrybucji |
Panele, kioski, terminale | „Mebel” poza kontrolą IT | Spisane, z informacją od dostawcy |
Skutek jednego kliknięcia | Możliwe przejęcie urządzenia | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: raport o możliwym wykorzystaniu w wyjątkowo wyrafinowanym ataku na wybrane osoby, na iOS starszym niż 26. SSVC CISA: wpływ techniczny całkowity, atak nieautomatyzowalny |
Grupy przestępcze | Brak publicznych informacji o sprawcach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, CISA/NVD); 8.6 (SUSE, nowsza wersja skali) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji; producent mówi o konkretnych, wybranych osobach |
Kto zgłosił błąd | Google Threat Analysis Group (wg biuletynu Apple) |
Powiązana luka | CVE-2025-14174 w Chromium (ANGLE), wydana w odpowiedzi na ten sam raport, w KEV od 12 grudnia 2025 |
Prognoza EPSS | Około 8,9% szansy wykorzystania, wyżej niż 94% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-43529
CVSS 3.1 (CISA/NVD) 8.8/10 █████████████████░░░ WYSOKA
CVSS (SUSE) 8.6/10 █████████████████░░░ WYSOKA
EPSS ~8.9% ██░░░░░░░░░░░░░░░░░░ powyżej 94% luk
Atak ukierunkowany TAK ████████████████████ wg Apple
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-12-12 Apple wydaje Safari 26.2, iOS/iPadOS 26.2 i 18.7.3, macOS Tahoe 26.2 i inne
2025-12-12 CISA dodaje powiązaną lukę CVE-2025-14174 (Chromium) do KEV
2025-12-15 CISA dodaje CVE-2025-43529 do katalogu KEV
2025-12-17 Publikacja wpisu w NVD
2025-12-18 Red Hat wydaje poprawkę dla RHEL 8 (WebKitGTK 2.50.4)
2025-12-24 Red Hat wydaje poprawkę dla RHEL 7 w rozszerzonym wsparciu
2026-01-05 Termin naprawy wg CISA dla agencji federalnych
2026-01-13 Biuletyn Ubuntu dla wydań 22.04, 24.04 i 25.10
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple: iOS 26.2 i iPadOS 26.2 , iOS 18.7.3 i iPadOS 18.7.3 , macOS Tahoe 26.2 , Safari 26.2 , tvOS 26.2 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-43529 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport wersji systemów na firmowych urządzeniach Apple | CTO | DZISIAJ |
2 | Zaktualizować własny telefon i poprosić o to resztę zarządu | CTO / zarząd | DZISIAJ |
3 | Zatwierdzić blokadę dostępu do poczty firmowej z urządzeń bez aktualizacji | CTO | DO JUTRA |
4 | Uzyskać listę serwerów i stacji Linux z pakietem WebKitGTK i ich wersje | CTO | DO JUTRA |
5 | Spisać panele, kioski i terminale z przeglądarką i ich dostawców | CFO (ewidencja środków trwałych) | DO JUTRA |
6 | Zabezpieczyć budżet na wymianę urządzeń, które nie dostaną poprawki | CFO | DO JUTRA |
7 | Wskazać osoby szczególnie narażone (zarząd, finanse, prawnicy) do dodatkowej ochrony | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile firmowych iPhone'ów i iPadów ma system starszy niż 26.2 (lub 18.7.3)? | [liczba] | 🔴 |
2 | Czy komputery Mac mają macOS Tahoe 26.2 lub nowszy albo Safari 26.2? | TAK / NIE | 🔴 |
3 | Czy mamy system zarządzania urządzeniami, który pokazuje wersje i wymusza aktualizacje? | TAK / NIE | 🟠 |
4 | Jaka wersja WebKitGTK jest na naszych maszynach z Linuksem? | [wersja] | 🟠 |
5 | Czy mamy RHEL 7 ze starym pakietem WebKit, który można usunąć? | TAK / NIE | 🟠 |
6 | Które panele, kioski i terminale w firmie wyświetlają treści z internetu? | [lista] | 🟠 |
7 | Czy prywatne telefony z dostępem do poczty firmowej są objęte wymogiem aktualizacji? | TAK / NIE | 🟡 |
CVE-2025-43529 to luka w silniku WebKit, która pozwala przejąć iPhone'a, iPada, Maca lub urządzenie z Linuksem po wyświetleniu spreparowanej strony. Apple mówi o ataku na wybrane osoby, CISA potwierdza wykorzystanie, a poprawki są dostępne od grudnia 2025 roku. Zadanie na dziś to aktualizacja urządzeń Apple, zaczynając od zarządu, a na ten tydzień: sprawdzenie Linuksa i sprzętu, którego nikt nie traktuje jak komputera.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.