Błąd w silniku WebKit pozwalał spreparowanej stronie wyjść z izolacji przeglądarki na urządzeniach Apple. Apple i CISA potwierdzają ataki na wybrane osoby. Zaktualizuj iOS, iPadOS, macOS i Safari do wersji z marca 2025.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają iPhone’ów, iPadów, Maków, zegarków Apple lub przeglądarki Safari, a także programów korzystających z silnika WebKit. Werdykt: jeśli urządzenia nie mają aktualizacji z marca lub kwietnia 2025 roku, zaktualizuj je dziś, zaczynając od telefonów osób z dostępem do pieniędzy i umów, bo luka pozwala stronie internetowej wyjść z izolacji przeglądarki i była wykorzystana w wyrafinowanych atakach.
Amerykańska agencja CISA 13 marca 2025 roku dopisała CVE-2025-24201 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd to zapis poza zakresem pamięci w silniku WebKit, na którym działa Safari i wszystkie przeglądarki na iPhonie. Złośliwie spreparowana treść internetowa mogła wyjść poza piaskownicę procesu Web Content, czyli obszar odgradzający stronę od reszty urządzenia.
Apple opisuje poprawkę jako uzupełniającą wobec ataku zablokowanego już w iOS 17.2 i informuje o raporcie, że błąd mógł zostać wykorzystany w wyjątkowo wyrafinowanym ataku na konkretne osoby. Termin wyznaczony przez CISA agencjom federalnym minął 3 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24201 |
Data dodania do CISA KEV | 2025-03-13 |
Termin naprawy wg CISA | 2025-04-03 (21 dni od wpisu) |
Produkt | Apple WebKit w wielu produktach: iOS, iPadOS, macOS, Safari, visionOS, watchOS; wg CISA także programy innych producentów przetwarzające HTML przez WebKit (NVD wymienia Debiana 11) |
Wersje zagrożone | Wg NVD: Safari poniżej 18.3.1; macOS 15.0 do 15.3.1; iOS i iPadOS 15.8 do 15.8.3, 16.7 do 16.7.10; iOS 17.0 do 18.3.1; iPadOS 17.0 do 17.7.5 i 18.0 do 18.3.1; visionOS poniżej 2.3.2; watchOS poniżej 11.4 |
Wersje bezpieczne | 11 marca 2025: iOS i iPadOS 18.3.2, macOS Sequoia 15.3.2, visionOS 2.3.2, Safari 18.3.1 (dla macOS Ventura i Sonoma). 31 marca 2025: iOS i iPadOS 15.8.4, iOS i iPadOS 16.7.11, iPadOS 17.7.6. 1 kwietnia 2025: watchOS 11.4 |
Typ podatności | Zapis poza zakresem pamięci prowadzący do wyjścia z piaskownicy; CWE-787 (klasyfikacja CISA) |
Ocena CVSS | 10.0/10 KRYTYCZNA (CVSS 3.1, NVD i CISA). Atak przez sieć, bez logowania i uprawnień, skutki wychodzą poza podatny komponent |
Przeglądarka otwiera cudzy kod: każda strona to instrukcje napisane przez obcego. Dlatego system trzyma stronę w osobnym, zamkniętym pomieszczeniu, jak w kapsule hotelowej. Strona może w nim robić swoje, ale nie sięga do zdjęć, wiadomości, haseł z innych aplikacji ani plików w pamięci telefonu.
Luka pozwalała wyjść z tej kapsuły. WebKit zapisywał dane poza zarezerwowanym obszarem pamięci i nadpisywał to, co leżało obok, a przygotowana strona potrafiła to wykorzystać, żeby przekroczyć granicę izolacji. Różnica dla firmy jest taka jak między zawieszoną kartą przeglądarki a obcym dostępem do zawartości telefonu prezesa: poczty, aplikacji bankowej, zdjęć dokumentów.
💡 WebKit to silnik wyświetlania stron, używany przez Safari i wszystkie przeglądarki na iPhonie oraz przez niektóre programy innych producentów. Piaskownica (sandbox) to izolowany obszar, w którym uruchamiana jest strona, by nie mogła sięgnąć do reszty urządzenia. Zapis poza zakresem to błąd, w którym program nadpisuje pamięć spoza przydzielonego obszaru. Poprawka uzupełniająca to druga poprawka dla problemu, który pierwsza nie zamknęła całkowicie. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link na iPhonie | Strona zamknięta w piaskownicy | Przygotowana strona może z niej wyjść |
Poczta, zdjęcia, aplikacja bankowa | Niedostępne dla strony | Zagrożone po wyjściu z izolacji |
Starszy iPad używany jako terminal na ladzie | „Nie dostaje już nowych systemów” | Ma poprawkę (iPadOS 15.8.4 lub 16.7.11), ale trzeba ją zainstalować |
Mac z macOS Ventura lub Sonoma | Chroniony systemem | Wymaga Safari 18.3.1 |
Program innej firmy korzystający z WebKit | Bezpieczne wyświetlanie HTML | Może być podatny wg CISA |
źródło: Pexels, Rufina RusakovaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Wystarczy, że ofiara otworzy przygotowaną treść internetową. Apple opisuje wykorzystanie jako wyjątkowo wyrafinowany atak na konkretne osoby, a CISA ocenia atak jako możliwy do zautomatyzowania, ze skutkiem całkowitym. W praktyce takie luki są zwykle jednym ogniwem łańcucha kilku błędów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wytypowanie osoby z dostępem do pieniędzy, umów lub poufnych informacji | Konkretny cel |
2. Dostarczenie treści | T+godziny do dni | Link w SMS-ie, komunikatorze, e-mailu lub przejęta strona odwiedzana przez ofiarę | Ofiara otwiera treść w WebKit |
3. Wykonanie kodu w karcie | T+sekundy | Wykorzystanie innego błędu do przejęcia procesu wyświetlania strony | Kontrola nad kartą |
4. Wyjście z piaskownicy | T+sekundy | Wykorzystanie CVE-2025-24201 | Dostęp poza izolacją przeglądarki |
5. Szpiegowanie | T+minuty do tygodni | Instalacja narzędzi szpiegujących, odczyt wiadomości i danych | Wyciek korespondencji, możliwe wyłudzenia |
Telefon członka zarządu to skrzynka pocztowa, aplikacja bankowa i archiwum zdjęć dokumentów. Utrata kontroli nad takim urządzeniem nie kosztuje ceny telefonu, tylko wartości wyniesionej wiedzy i pieniędzy przelanych na podstawie przechwyconej korespondencji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub czyszczenie urządzeń, reset kont i haseł | Dni | 10 tys. do 60 tys. PLN (praca IT, przestoje) |
Bezpieczeństwo danych | Odczyt poczty, wiadomości, zdjęć dokumentów z urządzenia | Od chwili otwarcia treści | 30 tys. do 250 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Wyłudzenia przelewów na podstawie przechwyconej korespondencji | Dni do tygodni | 50 tys. do 1 mln PLN (zależnie od wartości transakcji) |
Reputacyjny | Wyciek poufnych negocjacji, utrata zaufania partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: urządzenia Apple bez aktualizacji z marca 2025
Wpływ
5 | . . . ■ . ← WYSOKIE / KRYTYCZNE (zarząd, finanse)
4 | . . . . .
3 | . . ● . . ● pozostałe urządzenia
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: skutki są maksymalne (CVSS 10.0, wyjście z izolacji), ale masowy atak jest mało prawdopodobny (EPSS około 4%, górne 10% luk) i celem są wybrane osoby; dlatego urządzenia osób z dostępem do pieniędzy i umów trzeba zaktualizować natychmiast, a resztę w ciągu tygodnia.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować iPhone’y, iPady i Maki członków zarządu, księgowości i działu handlowego | Dziś | Administrator IT / użytkownicy |
2 | 🔴 NATYCHMIAST | Włączyć automatyczne aktualizacje na wszystkich urządzeniach Apple | Dziś | Administrator IT |
3 | 🟠 PILNIE | Spisać wszystkie urządzenia Apple z wersjami systemu, w tym starsze iPady i iPhone’y na iOS 15 lub 16 | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Zainstalować ręcznie iOS i iPadOS 15.8.4, 16.7.11 lub iPadOS 17.7.6 na starszym sprzęcie | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Zaktualizować Safari do 18.3.1 na Makach z macOS Ventura i Sonoma, a watchOS do 11.4 | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Sprawdzić programy innych producentów korzystające z WebKit (np. na Linuksie) i ich aktualizacje | Do 30 dni | Administrator IT |
7 | 🟡 WAŻNIE | Testować z wyprzedzeniem tylko aplikacje, które sprawiały problemy po aktualizacjach, zamiast wyłączać aktualizacje | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych produktów, także dla starszych iPhone’ów i iPadów. Urządzenia, które nie mogą zainstalować żadnej z tych wersji, nie są chronione. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Włączenie trybu blokady (Lockdown Mode) na urządzeniach osób szczególnie narażonych | Średnia do wysokiej wobec ataków przez treści internetowe | Łatwa, ale ogranicza część funkcji |
Nieotwieranie linków od nieznanych nadawców na nieaktualnych urządzeniach | Niska do średniej: zależy od ludzi | Łatwa |
Wycofanie urządzeń, które nie mogą dostać żadnej z poprawek | Wysoka | Średnia: koszt sprzętu |
Centralne zarządzanie urządzeniami (MDM) z wymuszaniem wersji systemu | Wysoka w utrzymaniu aktualności | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Telefony zarządu i finansów | Wersje nieznane | Zaktualizowane jako pierwsze |
Aktualizacje automatyczne | Wyłączone „po złych doświadczeniach” | Włączone, testowana tylko problematyczna aplikacja |
Starsze iPady i iPhone’y | Uznane za bez szans na poprawki | Zaktualizowane do 15.8.4, 16.7.11 lub 17.7.6 |
Spis urządzeń Apple | Brak | Lista z wersją każdego urządzenia |
Zgodność z terminem CISA | Ponad 17 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: raport o możliwym wykorzystaniu w wyjątkowo wyrafinowanym ataku na konkretne osoby, na iOS starszym niż 17.2 |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; opis producenta wskazuje na ataki na wybrane osoby |
Inne identyfikatory | EUVD-2025-6302; WebKit Bugzilla 285858 |
Prognoza EPSS | Około 4% szansy próby wykorzystania w ciągu 30 dni, blisko 90. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-24201
CVSS 3.1 (NVD, CISA) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~4% █░░░░░░░░░░░░░░░░░░░ ataki celowane
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-03-11 Apple wydaje iOS i iPadOS 18.3.2, macOS 15.3.2,
visionOS 2.3.2, Safari 18.3.1; publikacja CVE w NVD
2025-03-13 CISA dodaje lukę do katalogu KEV
2025-03-31 Apple wydaje iOS i iPadOS 15.8.4, 16.7.11, iPadOS 17.7.6
2025-04-01 Apple wydaje watchOS 11.4
2025-04-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn Apple dla iOS i iPadOS 18.3.2: support.apple.com/en-us/122281 . Pozostałe biuletyny wskazane przez CISA: 122283 , 122284 , 122285 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24201 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić wersję systemu na własnym iPhonie i Macu i zaktualizować | CTO, CFO, zarząd | DZISIAJ |
2 | Zlecić włączenie automatycznych aktualizacji na wszystkich urządzeniach Apple | CTO | DZISIAJ |
3 | Zlecić spis urządzeń Apple z wersjami systemu | CTO | DO JUTRA |
4 | Wskazać osoby szczególnie narażone na ataki ukierunkowane i rozważyć dla nich tryb blokady | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę urządzeń, które nie dostają poprawek | CFO | DO JUTRA |
6 | Przypomnieć zasadę potwierdzania przelewów innym kanałem niż wiadomość | CFO | DO JUTRA |
7 | Rozważyć centralne zarządzanie urządzeniami mobilnymi | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile firmowych iPhone’ów i iPadów ma wersję starszą niż 18.3.2 (lub 15.8.4, 16.7.11, 17.7.6 na starszym sprzęcie)? | [liczba] | 🔴 |
2 | Czy telefony zarządu i finansów są zaktualizowane? | TAK / NIE | 🔴 |
3 | Czy automatyczne aktualizacje są włączone na wszystkich urządzeniach Apple? | TAK / NIE | 🔴 |
4 | Ile Maków ma macOS starszy niż 15.3.2 bez Safari 18.3.1? | [liczba] | 🟠 |
5 | Czy mamy urządzenia Apple, które nie mogą zainstalować żadnej z poprawek? | TAK / NIE, [liczba] | 🟠 |
6 | Czy używamy programów innych producentów opartych na WebKit? | TAK / NIE, [lista] | 🟡 |
7 | Czy zarządzamy urządzeniami mobilnymi centralnie (MDM)? | TAK / NIE | 🟡 |
CVE-2025-24201 pozwala przygotowanej treści internetowej wyjść z piaskownicy WebKit na iPhone’ach, iPadach, Makach i innych produktach Apple, a Apple informuje o wykorzystaniu w wyrafinowanych atakach na konkretne osoby. Poprawki są dostępne od marca i kwietnia 2025 roku, także dla starszego sprzętu, więc aktualizacja urządzeń zarządu i finansów to zadanie na dziś, a reszty floty na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.