WhatsApp ha lanzado una actualización que corrige una vulnerabilidad de seguridad en sus aplicaciones para dispositivos con sistema operativo iOS y macOS. La brecha, identificada como CVE-2025-55177, se relaciona con un caso de autorización insuficiente durante la sincronización de dispositivos vinculados. Los investigadores internos del Equipo de Seguridad de WhatsApp descubrieron y reclasificaron el error.
Vulnerabilidad y riesgos potenciales
La empresa afirmó que el problema podría haber permitido que un usuario no relacionado activara el procesamiento de contenido desde una URL arbitraria en el dispositivo objetivo. La vulnerabilidad se clasifica con un CVSS de 8.0, lo cual indica un nivel alto de riesgo.
Versiones afectadas
La falla afecta a las siguientes versiones:
- WhatsApp para iOS (versión anterior a la 2.25.21.73)
- WhatsApp Business para iOS (versión 2.25.21.78)
- WhatsApp para Mac (versión 2.25.21.78)
Vinculo con otra vulnerabilidad
También se evaluó que la falla podría estar relacionada con CVE-2025-43300, una vulnerabilidad que afecta a iOS, iPadOS y macOS. Esta última fue revelada recientemente por Apple como parte de un ataque sofisticado contra usuarios específicos.
Detalles técnicos
La vulnerabilidad en cuestión es una vulnerabilidad de escritura fuera de límites en el framework ImageIO que podría provocar corrupción de memoria al procesar una imagen maliciosa.
Impacto y alertas
Donncha Ó Cearbhaill, directora del Laboratorio de Seguridad de Amnistía Internacional, afirmó que WhatsApp ha notificado a un número indeterminado de personas que, según cree, fueron blanco de una campaña de spyware avanzado en los últimos 90 días mediante la vulnerabilidad CVE-2025-55177.
En la alerta enviada a las personas afectadas, WhatsApp recomendó restablecer completamente el dispositivo a la configuración de fábrica y mantener actualizados el sistema operativo y la aplicación de WhatsApp para una protección óptima. Actualmente se desconoce quién o qué proveedor de spyware está detrás de los ataques.
Tipología del ataque
Ó Cearbhaill describió estas dos vulnerabilidades como un ataque de «clic cero», lo que significa que no requiere ninguna interacción del usuario, como hacer clic en un enlace, para comprometer su dispositivo.
«Los primeros indicios apuntan a que el ataque a WhatsApp está afectando tanto a usuarios de iPhone como de Android, entre ellos a la sociedad civil», declaró Ó Cearbhaill. «El spyware gubernamental sigue representando una amenaza para periodistas y defensores de los derechos humanos».