Actie benodigd (kort):

• Update WhatsApp direct naar de laatste versie om risico’s te beperken.

‍

Onderzoekers van het WhatsApp Security Team hebben een kritieke kwetsbaarheid (CVE-2025-55177, CVSS 8.0) ontdekt in de iOS- en macOS-clients. De bug zat in de afhandeling van linked device synchronization messages en resulteerde in insufficient authorization. Hierdoor kon een aanvaller synchronisatieberichten manipuleren en WhatsApp laten uitvoeren wat neerkomt op remote code inclusion van een door de aanvaller gecontroleerde URL.

‍

Getroffen versies:

• WhatsApp voor iOS < 2.25.21.73
• WhatsApp Business voor iOS < 2.25.21.78
• WhatsApp voor Mac < 2.25.21.78

‍

De kwetsbaarheid kon zelfstandig misbruikt worden, maar werd in de praktijk gecombineerd met CVE-2025-43300 in Apple’s ImageIO-framework. Dit Apple-lek is een out-of-bounds write bij het verwerken van malafide afbeeldingen, waardoor geheugenbeschadiging en remote code execution (RCE) mogelijk zijn. In combinatie vormden deze bugs een krachtige zero-click exploit chain.

‍

Exploit chain in het kort:

1. Aanvaller stuurt gemanipuleerde synchronisatieberichten naar WhatsApp.
2. WhatsApp laadt en verwerkt content vanaf een door de aanvaller gecontroleerde URL.
3. Het slachtoffer ontvangt een malafide afbeelding die het Apple-lek (CVE-2025-43300) triggert.
4. Resultaat: geheugenbeschadiging en mogelijk volledige overname van het toestel.

‍

Impact en mitigatie
Amnesty International bevestigt dat doelwitten in de afgelopen 90 dagen zijn aangevallen met deze exploit chain, waaronder journalisten en mensenrechtenverdedigers. WhatsApp heeft getroffen gebruikers geïnformeerd en adviseert een volledige factory reset uit te voeren en de laatste versies van zowel besturingssysteem als app te draaien.

‍

Belang:

• Zero-click: geen interactie van de gebruiker vereist
• Cross-platform: iOS en Android getroffen
• Waarschijnlijk ingezet door commerciële spyware-leveranciers of statelijke actoren

‍

‍