WhatsApp emite alerta urgente para usuários de iPhone e Android após a descoberta de uma vulnerabilidade crítica, identificada como CVE-2025-55177, que permite ataques do tipo “zero-click”. A falha, explorada em conjunto com outra vulnerabilidade no sistema operacional da Apple (CVE-2025-43300), possibilita que hackers comprometam dispositivos sem qualquer interação do usuário, apenas pelo recebimento de uma mensagem maliciosa. A campanha, descrita como altamente sofisticada, teve como alvo cerca de 200 pessoas, incluindo jornalistas e ativistas, nos últimos três meses. A Meta, dona do WhatsApp, já corrigiu a falha, mas recomenda atualização imediata do aplicativo e do sistema operacional, além de medidas como redefinição de fábrica. O ataque, que afeta versões específicas do WhatsApp para iOS, macOS e Android, expõe dados sensíveis, como mensagens privadas. A gravidade do problema reforça a necessidade de proteção contra ameaças cibernéticas avançadas.
A vulnerabilidade foi detectada pela equipe de segurança interna do WhatsApp, que agiu rapidamente para liberar atualizações. A falha, classificada com pontuação CVSS de 8.0, está relacionada a uma autorização insuficiente em mensagens de sincronização de dispositivos vinculados, permitindo que atacantes forcem o processamento de conteúdo de URLs maliciosas.
- Versões afetadas: WhatsApp para iOS anterior a v2.25.21.73, WhatsApp Business para iOS anterior a v2.25.21.78 e WhatsApp para Mac anterior a v2.25.21.78.
- Ação recomendada: Atualizar o aplicativo e o sistema operacional imediatamente.
- Medida extrema: Redefinição de fábrica para eliminar possíveis malwares.
A campanha, que combina a falha do WhatsApp com uma vulnerabilidade no framework ImageIO da Apple, destaca o aumento de ataques coordenados que exploram múltiplas brechas para instalar spywares.
Detalhes da vulnerabilidade
A falha CVE-2025-55177 permite que um atacante, sem qualquer vínculo com a vítima, envie uma mensagem que força o dispositivo a processar conteúdo de uma URL arbitrária. Isso abre caminho para a execução remota de códigos maliciosos ou a entrega de spywares, sem que o usuário precise clicar em links ou abrir arquivos. A gravidade aumenta quando combinada com a vulnerabilidade CVE-2025-43300, um erro de escrita fora dos limites no sistema operacional da Apple, que pode causar corrupção de memória ao processar imagens maliciosas.
A Meta confirmou que menos de 200 usuários receberam notificações de alerta, indicando que a campanha foi altamente seletiva, focando em alvos específicos, como jornalistas, ativistas e membros da sociedade civil. Donncha Ó Cearbhaill, chefe do Laboratório de Segurança da Anistia Internacional, destacou que a exploração ocorreu ao longo de 90 dias, desde o final de maio de 2025.
- Impacto potencial: Roubo de mensagens, contatos e outros dados sensíveis.
- Alvos principais: Indivíduos de alto perfil, incluindo figuras públicas e defensores de direitos humanos.
- Método de ataque: Mensagens maliciosas enviadas via WhatsApp, sem interação do usuário.
- Sistemas afetados: iOS, iPadOS, macOS e, possivelmente, Android.
A correção já está disponível, mas a natureza silenciosa do ataque reforça a importância de medidas preventivas imediatas.
Ações recomendadas para proteção
A Meta e especialistas em segurança emitiram orientações claras para mitigar os riscos associados a essa vulnerabilidade. A prioridade é garantir que os dispositivos estejam protegidos contra possíveis compromissos, mesmo após a aplicação das correções. Atualizar o WhatsApp e o sistema operacional é o primeiro passo, mas outras medidas podem ser necessárias para usuários que receberam notificações de ataque.
- Atualização imediata: Instale as versões mais recentes do WhatsApp (iOS v2.25.21.73 ou superior, Business iOS v2.25.21.78 ou superior, Mac v2.25.21.78 ou superior).
- Sistema operacional: Atualize iOS, iPadOS ou macOS para a versão mais recente, que corrige a falha CVE-2025-43300.
- Redefinição de fábrica: Considere realizar uma redefinição completa do dispositivo para eliminar possíveis malwares persistentes.
- Modos de proteção: Ative o Modo de Bloqueio no iOS ou a Proteção Avançada no Android para maior segurança.
A rapidez na aplicação dessas medidas é essencial, especialmente para usuários que podem ter sido alvos da campanha.
Contexto dos ataques zero-click
Os ataques do tipo “zero-click” representam uma das formas mais avançadas de ameaças cibernéticas, pois não dependem de erros do usuário, como clicar em links ou abrir anexos. Essa técnica tem sido cada vez mais utilizada por agentes maliciosos, incluindo empresas especializadas em spywares, como as baseadas em Israel, que já foram associadas a ataques contra jornalistas e ativistas nos últimos anos.
A campanha atual, embora direcionada, reflete uma tendência preocupante: o aumento de exploits que combinam falhas em aplicativos e sistemas operacionais para maximizar o impacto. Nos últimos quatro anos, o volume de ataques zero-day, como este, cresceu continuamente, com variações mínimas ano a ano. A sofisticação desses ataques exige que empresas de tecnologia e usuários finais estejam em constante alerta.
- Histórico recente: Aumento de 20% nos ataques zero-day entre 2023 e 2025.
- Alvos comuns: Jornalistas, ativistas, diplomatas e figuras públicas.
- Técnicas usadas: Exploração de falhas em frameworks amplamente utilizados, como o ImageIO da Apple.
A combinação de vulnerabilidades em diferentes camadas de software demonstra a complexidade das ameaças modernas.
Medidas preventivas no longo prazo
Além das ações imediatas, usuários e organizações podem adotar práticas para reduzir o risco de futuros ataques. A segurança cibernética exige uma abordagem proativa, especialmente em plataformas amplamente usadas como o WhatsApp, que possui mais de 2 bilhões de usuários globais.
Empresas de tecnologia, como a Meta, estão investindo em ferramentas de detecção de ameaças, mas a responsabilidade também recai sobre os usuários. Ativar autenticação de dois fatores, revisar permissões de aplicativos e monitorar atividades suspeitas são passos essenciais.
- Autenticação de dois fatores: Ative no WhatsApp para maior proteção contra acesso não autorizado.
- Monitoramento de atividades: Verifique logs de sincronização de dispositivos vinculados no aplicativo.
- Educação digital: Evite compartilhar informações sensíveis em plataformas digitais, mesmo em chats criptografados.
- Backups seguros: Mantenha backups de dados em locais protegidos para recuperação em caso de comprometimento.
A colaboração entre empresas de tecnologia e organizações de segurança, como a Anistia Internacional, é crucial para identificar e mitigar essas ameaças rapidamente.
Escala global do problema
A vulnerabilidade CVE-2025-55177 não se limita a usuários de iPhone. Relatos iniciais sugerem que dispositivos Android também podem ter sido afetados, embora a Meta não tenha detalhado a extensão do impacto em outras plataformas. A natureza global do WhatsApp torna essas falhas particularmente preocupantes, já que bilhões de pessoas dependem do aplicativo para comunicação diária.
A campanha de spyware, embora seletiva, expõe a fragilidade de sistemas interconectados. A exploração de falhas em frameworks como o ImageIO, usado por diversos aplicativos, aumenta o alcance potencial de ataques. Governos e empresas de cibersegurança estão intensificando esforços para monitorar e conter essas ameaças, mas a velocidade de resposta é crítica.
- Usuários afetados: Aproximadamente 200 pessoas, com foco em alvos de alto perfil.
- Plataformas vulneráveis: iOS, macOS e, possivelmente, Android.
- Resposta da Meta: Notificações enviadas e atualizações liberadas em semanas.
- Ação da Apple: Correção da falha CVE-2025-43300 em agosto de 2025.
A integração de inteligência de ameaças, como as oferecidas por plataformas de cibersegurança, pode ajudar organizações a identificar ativos vulneráveis antes que sejam explorados.