Una exploit Zero-Click per WhatsApp consentiva la sorveglianza remota. Meta avvisa le vittime

Una falla di sicurezza nelle app di messaggistica di WhatsApp per Apple iOS e macOS è stata sanata, come riferito dalla stessa società, dopo essere stata probabilmente sfruttata su larga scala insieme ad una vulnerabilità Apple recentemente individuata in attacchi mirati di tipo zero-day.

Un caso di autorizzazione insufficiente per i messaggi di sincronizzazione dei dispositivi collegati è alla base della vulnerabilità, identificata come CVE-2025-55177, con un punteggio CVSS di 8,0 che è stata utilizzata da software per sorveglianza (spyware). La scoperta e la successiva rivalutazione del bug sono attribuibili ai ricercatori del team di sicurezza di WhatsApp.

Donncha Ó Cearbhaill, responsabile del Security Lab di Amnesty International, ha affermato che WhatsApp ha avvisato un numero imprecisato di individui che ritiene siano stati presi di mira da una campagna di spyware avanzata negli ultimi 90 giorni che ha utilizzato l’exploit per il codice CVE-2025-55177.

Un messaggio inviato ai possibili bersagli ha suggerito, come misura di sicurezza, di resettare completamente il dispositivo alle impostazioni originali e di assicurarsi di avere sempre aggiornato il sistema operativo e l’applicazione WhatsApp per garantirsi una protezione ottimale. L’identità del responsabile, o dell’azienda produttrice del software spia utilizzato, rimane per ora sconosciuta.

Il difetto riguarda le versioni WhatsApp per iOS precedente alla versione 2.25.21.73, WhatsApp Business per iOS versione 2.25.21.78 e WhatsApp per Mac versione 2.25.21.78. La vulnerabilità in questione è una vulnerabilità di scrittura fuori dai limiti nel framework ImageIO che potrebbe causare il danneggiamento della memoria durante l’elaborazione di un’immagine dannosa.

La settimana scorsa è stato reso noto che Apple aveva scoperto l’utilizzo del bug CVE-2025-43300 come strumento in un’agguerrita offensiva informatica mirata a colpire singoli obiettivi con tecniche estremamente raffinate. La società di proprietà di Meta ha affermato che il problema “avrebbe potuto consentire a un utente non correlato di attivare l’elaborazione di contenuti da un URL arbitrario sul dispositivo di un bersaglio”.

È stato inoltre valutato che la falla potrebbe essere stata collegata alla vulnerabilità CVE-2025-43300, che colpisce iOS, iPadOS e macOS, nell’ambito di un attacco sofisticato contro specifici utenti.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Manuel Roccon

Ho iniziato la mia carriera occuparmi nella ricerca e nell’implementazioni di soluzioni in campo ICT e nello sviluppo di applicazioni. Al fine di aggiungere aspetti di sicurezza in questi campi, da alcuni anni ho aggiunto competenze inerenti al ramo offensive security (OSCP), occupandomi anche di analisi di sicurezza e pentest in molte organizzazioni.

Aree di competenza: Ethical Hacking, Bug Hunting, Penetration Testing, Red Teaming, Security Research, Cybersecurity Communication