Meta conferma: lo spyware Paragon ha sfruttato una falla nei font per infettare i dispositivi

Meta ha ufficialmente confermato la connessione tra una vulnerabilità recentemente scoperta nella libreria FreeType e lo sviluppatore di spyware israeliano Paragon. La vulnerabilità in questione è il CVE-2025-27363, che colpisce una libreria molto utilizzata dagli sviluppatori per lavorare con testo e font. La vulnerabilità consente l’esecuzione di codice arbitrario sul dispositivo della vittima ed era inizialmente considerata potenzialmente sfruttabile in attacchi reali.

A marzo, Meta ha pubblicato un avviso relativo a CVE-2025-27363 sulla sua pagina Facebook dedicata agli avvisi di sicurezza. L’avviso segnalava che la vulnerabilità riguardava la libreria FreeType versione 2.13.0 e precedenti. Il problema risiede nella gestione errata delle strutture dei sottoglifi dei font TrueType GX e delle variabili dei font. Come spiegato dagli esperti, l’errore si verifica a causa dell’assegnazione di un valore short con segno a una variabile long senza segno. Successivamente, viene aggiunto un valore fisso, che causa un overflow. Il codice scrive quindi fino a sei interi long al di fuori dell’area allocata, consentendo all’attaccante di eseguire codice arbitrario.

All’inizio di maggio, la vulnerabilità è stata risolta in Android. Tuttavia, i dettagli sugli attacchi specifici che utilizzano CVE-2025-27363 non sono stati divulgati fino a poco tempo fa. Come si è appreso dai commenti dei rappresentanti di WhatsApp, è stato il team di messaggistica a richiedere l’assegnazione di un identificatore CVE per questa vulnerabilità. Il motivo è che il problema è direttamente correlato a un exploit dell’azienda israeliana Paragon.

Il gruppo di ricerca Citizen Lab dell’Università di Toronto ha precedentemente segnalato che i prodotti Paragon vengono utilizzati attivamente per attacchi spyware. A marzo, gli esperti hanno pubblicato i dati su una vulnerabilità zero-day in WhatsApp, sfruttata in attacchi con lo spyware Paragon. Secondo quanto riportato da Messenger, gli aggressori hanno utilizzato chat di gruppo e l’invio di file PDF per infettare i dispositivi. La vulnerabilità è stata quindi risolta lato server, senza la necessità di installare aggiornamenti alle applicazioni client.

Ora WhatsApp ha chiarito che la vulnerabilità CVE-2025-27363 è stata scoperta nell’ambito di una più ampia analisi di potenziali canali di infezione non direttamente correlati a WhatsApp. L’obiettivo dell’indagine è determinare in quali altri modi le aziende di spyware possano inviare codice dannoso ai dispositivi delle vittime. WhatsApp ha affermato che i risultati di questa indagine sono stati condivisi con altre aziende per migliorare il livello di protezione complessivo nel settore.

Lo spyware Graphite, è già stato rilevato in diversi paesi, tra cui Australia, Canada, Danimarca, Italia, Cipro, Singapore e Israele. Citizen Lab ha ripetutamente sottolineato l’elevata complessità tecnica degli attacchi Paragon e la presenza di exploit che non richiedono alcuna azione da parte della vittima: l’infezione avviene automaticamente. In particolare, l’azienda era già riuscita ad attaccare con successo anche le versioni attuali di iPhone, fino a quando Apple non ha risolto le relative vulnerabilità.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research