WhatsApp Risolve il Bug di Spyware 'Zero-Click' sui Dispositivi Apple

WhatsApp ha corretto una grave vulnerabilità di sicurezza nelle sue app iOS e Mac che gli hacker stavano sfruttando in una campagna di spyware furtiva, senza che gli utenti cliccassero mai un link o aprissero un file.

La piattaforma di messaggistica di proprietà di Meta ha dichiarato che la vulnerabilità — tracciata come CVE-2025-55177 — era abbinata a un’altra vulnerabilità (CVE-2025-43300) nel software di Apple che l’azienda ha corretto la settimana scorsa. Insieme, hanno creato quello che gli esperti di sicurezza chiamano un exploit “zero-click” — un hack che ha permesso agli hacker di infiltrarsi in iPhone e Mac senza alcuna azione richiesta dall’utente.

“L’autorizzazione incompleta dei messaggi di sincronizzazione dei dispositivi collegati in WhatsApp [..] potrebbe aver consentito a un utente non correlato di attivare l’elaborazione di contenuti da un URL arbitrario sul dispositivo di un obiettivo,” ha scritto WhatsApp in un avviso di sicurezza di venerdì.

“Riteniamo che questa vulnerabilità, in combinazione con una vulnerabilità a livello di OS sulle piattaforme Apple (CVE-2025-43300), possa essere stata sfruttata in un attacco sofisticato contro utenti specificamente mirati.”

Questa vulnerabilità zero-click ha colpito WhatsApp per iOS prima della versione 2.25.21.73, WhatsApp Business per iOS v2.25.21.78 e WhatsApp per Mac v2.25.21.78.

All’inizio di questo mese, Apple ha rilasciato aggiornamenti di emergenza per correggere la vulnerabilità zero-day CVE-2025-43300, notando che era già stata sfruttata in un “attacco estremamente sofisticato.”

Sebbene le due aziende debbano identificare pubblicamente chi si trovava dietro gli attacchi, Donncha Ó Cearbhaill (il capo del Security Lab di Amnesty International) ha dichiarato che WhatsApp ha recentemente avvisato alcuni utenti colpiti da una “campagna di spyware avanzata” che è durata circa 90 giorni. Questa campagna ha colpito meno di 200 persone in tutto il mondo, inclusi membri della società civile.

Indice dei Contenuti

• Risposta di WhatsApp
• Cosa Dovresti Fare?

Risposta di WhatsApp

“Abbiamo apportato modifiche per prevenire questo specifico attacco attraverso WhatsApp. Tuttavia, il sistema operativo del tuo dispositivo potrebbe rimanere compromesso dal malware o essere preso di mira in altri modi,” recitano gli avvisi di WhatsApp.

Donncha Ó Cearbhaill ha descritto che la campagna era progettata per infiltrarsi in iPhone e Mac da remoto, senza che le vittime ricevessero segnali di avvertimento che i loro dispositivi fossero compromessi, mentre dava agli attaccanti accesso a messaggi privati e dati sensibili.

“Anche importante: la vulnerabilità di Apple era in una libreria di immagini core, mirata anche attraverso altre app oltre a WhatsApp,” ha aggiunto Donncha Ó Cearbhaill.

Questa non è la prima volta che WhatsApp è stato utilizzato come canale di consegna per spyware di livello governativo. Nel 2019, l’azienda ha citato in giudizio il fornitore di spyware israeliano NSO Group dopo che il suo malware Pegasus ha infiltrato oltre 1.400 dispositivi, inclusi giornalisti e attivisti. Più recentemente, WhatsApp ha dichiarato di aver interrotto un’altra campagna che prendeva di mira gruppi della società civile in Italia.

Gli esperti di sicurezza avvertono che questi attacchi mostrano il crescente potere dell’industria della sorveglianza. Sfruttando vulnerabilità precedentemente sconosciute, gli attaccanti possono infiltrarsi anche nei dispositivi più aggiornati. A differenza dei tentativi di phishing, gli exploit zero-click non dipendono dalle azioni degli utenti, il che li rende quasi impossibili da prevenire e difendersi.

Cosa Dovresti Fare?

Per gli utenti quotidiani di WhatsApp, il rischio è estremamente basso. Tuttavia, è fondamentale aggiornare le tue app e il sistema operativo il prima possibile.

Per giornalisti, attivisti e altri in settori sensibili, gli esperti di sicurezza raccomandano anche di attivare la Modalità Lockdown di Apple o la Modalità di Protezione Avanzata di Android per un ulteriore livello di difesa. Poiché i produttori di spyware stanno costantemente cercando debolezze, mantenere i dispositivi aggiornati e patchati è la migliore linea di difesa una volta che le patch sono disponibili.