هشدار فوری واتس اپ: کشف یک آسیب پذیری “بدون کلیک” در آیفون و مک

به گزارش بخش اخبار فناوری زوم تک از The Hacker News، واتس اپ به تازگی یک به روز رسانی اضطراری برای برنامه های پیام رسان خود در سیستم عامل های iOS و macOS منتشر کرده است. این اقدام پس از آن صورت گرفت که واتس اپ اعلام کرد یک آسیب پذیری امنیتی مهم کشف شده که ممکن است به صورت فعال و در ترکیب با یک نقص امنیتی دیگر در سیستم عامل اپل، برای حملات پیشرفته و هدفمند مورد سوء استفاده قرار گرفته باشد.

جزئیات فنی یک نقص خطرناک

آسیب پذیری مورد نظر که با کد CVE-2025-55177 شناخته می شود و دارای امتیاز خطر ۸.۰ در سیستم CVSS است، مربوط به عدم تایید کافی پیام های همگام سازی دستگاه های لینک شده است. تیم امنیتی واتس اپ که مسئول کشف و رده بندی مجدد این باگ بوده، اعلام کرد این نقص می تواند به یک کاربر غیر مرتبط اجازه دهد تا محتوای یک URL دلخواه را روی دستگاه قربانی پردازش و اجرا کند. این حفره امنیتی در نسخه های زیر از واتس اپ وجود دارد:

• واتس اپ برای iOS، قبل از نسخه ۲.۲۵.۲۱.۷۳
• واتس اپ بیزینس برای iOS، نسخه ۲.۲۵.۲۱.۷۸
• واتس اپ برای مک، نسخه ۲.۲۵.۲۱.۷۸

واتس اپ متا ارزیابی کرده است که این آسیب پذیری ممکن است با یک نقص امنیتی دیگر به نام CVE-2025-43300 که در سیستم عامل های iOS، iPadOS و macOS وجود دارد، ترکیب شده و به عنوان بخشی از یک حمله پیچیده علیه کاربران خاص و هدفمند به کار گرفته شده است.

همکاری با اپل و کشف حملات “بدون کلیک”

هفته گذشته، اپل نیز اعلام کرد که نقص CVE-2025-43300 به عنوان بخشی از یک “حمله بسیار پیچیده علیه افراد خاص و هدفمند” مورد سوء استفاده قرار گرفته است. این آسیب پذیری، یک نقص “خارج از محدوده نوشتن” (out-of-bounds write) در فریمورک ImageIO است که می تواند منجر به خرابی حافظه در هنگام پردازش یک تصویر مخرب شود.

به گفته دانچا او سیربایل، رئیس آزمایشگاه امنیتی عفو بین الملل، واتس اپ به تعداد نامشخصی از افرادی که گمان می رود طی ۹۰ روز گذشته با استفاده از CVE-2025-55177 مورد حمله بدافزارهای پیشرفته قرار گرفته اند، اطلاع رسانی کرده است. در این هشدار، واتس اپ به کاربران هدف قرار گرفته توصیه کرده است که دستگاه خود را به تنظیمات کارخانه بازگردانده و سیستم عامل و برنامه واتس اپ خود را به روز نگه دارند تا از حفاظت بهینه برخوردار شوند. هنوز مشخص نیست چه کسی یا کدام شرکت فروشنده بدافزار پشت این حملات قرار دارد.

حملات “بدون کلیک” چیست و چرا خطرناک است؟

آقای او سیربایل این دو آسیب پذیری را به عنوان یک حمله “بدون کلیک” توصیف کرد، به این معنی که برای به خطر انداختن دستگاه قربانی، نیازی به هیچ گونه تعامل از سوی کاربر، مانند کلیک کردن روی یک لینک، نیست. او در ادامه می گوید: “نشانه های اولیه حاکی از آن است که این حمله واتس اپ، هم کاربران آیفون و هم اندروید را تحت تاثیر قرار داده و در میان آن ها، افراد فعال در جامعه مدنی نیز دیده می شوند. نرم افزارهای جاسوسی دولتی همچنان تهدیدی برای روزنامه نگاران و مدافعان حقوق بشر به شمار می روند.”

این نوع حملات به دلیل ماهیت پنهان خود، بسیار خطرناک هستند؛ زیرا قربانی حتی متوجه نمی شود که دستگاهش در حال نفوذ است و مهاجمان می توانند بدون هیچ مانعی به داده های حساس دسترسی پیدا کنند.