Aggiornamento del 3 agosto 2026 — WhatsApp ha rilasciato aggiornamenti d'emergenza per correggere CVE-2025-55177, una vulnerabilità di autorizzazione insufficiente nella sincronizzazione messaggi tra dispositivi collegati. La falla è stata attivamente sfruttata in-the-wild in attacchi zero-click mirati contro utenti iOS e macOS, probabilmente in combinazione con CVE-2025-43300, un out-of-bounds write nel framework ImageIO di Apple. La raccomandazione insolitamente drastica di factory reset completo e il silenzio di Meta sull'identità del vendor spyware sollevano interrogativi sulla persistenza dell'infezione.
- CVE-2025-55177 ha CVSS 5.4 MEDIUM ed è classificata CWE-863 (Incorrect Authorization): un utente non autorizzato poteva innescare elaborazione di contenuto da URL arbitrario sul dispositivo target.
- WhatsApp ha notificato meno di 200 utenti potenzialmente compromessi; le prime indicazioni segnalano impatto su utenti iPhone, Android e individui della società civile.
- L'attacco funzionava senza interazione utente (zero-click) ed è stato valutato in chaining con CVE-2025-43300 di Apple, out-of-bounds write in ImageIO con CVSS 10 CRITICAL.
- CISA ha inserito CVE-2025-55177 nel catalogo KEV il 2 settembre 2025, con scadenza patch per gli enti governativi statunitensi fissata al 23 settembre 2025.
Il meccanismo: autorizzazione insufficiente nella sincronizzazione dispositivi
La vulnerabilità risiede nel protocollo di sincronizzazione messaggi di WhatsApp per dispositivi collegati. Secondo la descrizione ufficiale, la falla "relates to a case of insufficient authorization of linked device synchronization messages". Il National Vulnerability Database conferma la classificazione CWE-863 (Incorrect Authorization).
WhatsApp ha dichiarato che la vulnerabilità "could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target's device". Questo meccanismo apre una superficie d'attacco remota: un attore autenticato nel sistema — ma non legittimato ad accedere al target specifico — poteva forzare il disposituito a elaborare contenuto ospitato su URL controllato dall'attaccante.
Il vettore è classificato CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N, con punteggio 5.4 MEDIUM. La rete è raggiungibile (Network), la complessità d'attacco è bassa (Low), è richiesto privilegio limitato (Low), nessuna interazione utente (None), scope invariato, impatto riservatezza e integrità limitati (Low), nessuna disponibilità. Il punteggio riflette la natura ristretta dell'impatto diretto della sola CVE-2025-55177: per ottenere esecuzione di codice è necessario il chaining con una seconda falla.
La catena con Apple: da URL arbitrario a esecuzione codice
L'elemento che trasforma la falla WhatsApp da anomalia a minaccia critica è il probabile chaining con CVE-2025-43300. Apple ha descritto questa vulnerabilità come weaponizzata in un "extremely sophisticated attack against specific targeted individuals". Si tratta di un out-of-bounds write nel framework ImageIO, con memory corruption sull'elaborazione di immagini malevole.
La combinazione logica è leggibile anche senza dettagli tecnici completi: CVE-2025-55177 fornisce il veicolo di consegna (forzare elaborazione contenuto da URL arbitrario), CVE-2025-43300 fornisce la porta d'ingresso nel sistema operativo (corruzione memoria su parsing immagine). Risultato: esecuzione di codice senza che l'utente tocchi il dispositivo.
"zero-click attack, meaning it does not require any user interaction, such as clicking a link, to compromise their device"
WhatsApp ha valutato che la sua falla "may have been chained with CVE-2025-43300", confermando la natura composita dell'exploit. Il NVD registra esplicitamente la combinazione: "in combination with an OS-level vulnerability on Apple platforms". Questo pattern di attacco — app consumer come ponte verso vulnerabilità OS — rappresenta un'evoluzione significativa nel panorama spyware governativo.
I target e il silenzio di Meta: chi ha sparato e chi è nel mirino
WhatsApp ha inviato notifiche in-app a meno di 200 utenti, qualificandoli come potenziali target. Il numero non indica vittime confermate di compromissione, ma soggetti per i quali è stato rilevato traffico anomalo compatibile con la campagna. È un'attivazione precauzionale, non una contabilità dei danni.
Donncha Ó Cearbhaill, ricercatore presso l'Amnesty International Security Lab, ha confermato attacchi spyware avanzati negli ultimi 90 giorni e specificato: "Early indications are that the WhatsApp attack is impacting both iPhone and Android users, civil society individuals among them". La sua analisi prosegue: "Government spyware continues to pose a threat to journalists and human rights defenders".
Il profilo delle vittime — giornalisti, attivisti, difensori dei diritti umani — e la tecnica zero-click sono segnature coerenti con il mercato del spyware commerciale governativo. Tuttavia, Meta non ha identificato il vendor responsabile. Questo silenzio è anomalo: in casi precedenti (NSO Group, Intellexa, Candiru), WhatsApp ha proceduto a notifiche legali e comunicazioni pubbliche. L'assenza di attribuzione suggerisce o un'indagine in corso, o una valutazione strategica di non esposizione.
Il dossier non specifica se la raccomandazione di factory reset sia basata su evidenza concreta di persistenza o sulla precauzione generale tipica di contesti spyware. La differenza è rilevante: se esiste un meccanismo di persistenza non rimovibile tramite semplice aggiornamento app, la superficie di rischio supera il perimetro WhatsApp.
Cosa fare adesso
Le versioni che correggono la vulnerabilità sono: WhatsApp per iOS precedente al 2.25.21.73 (rilasciata il 28 luglio 2025), WhatsApp Business iOS 2.25.21.78 (4 agosto 2025), WhatsApp per Mac 2.25.21.78 (4 agosto 2025). Gli utenti di queste piattaforme devono verificare l'installazione dell'aggiornamento.
Gli enti governativi statunitensi soggetti alla binding operational directive CISA devono applicare la patch entro il 23 settembre 2025, data fissata dal KEV catalog per CVE-2025-55177.
Gli utenti che hanno ricevuto notifica in-app da WhatsApp devono valutare la raccomandazione di factory reset completo, con la consapevolezza che questa indicazione — documentata dalla fonte — non è accompagnata da dettagli pubblici sul meccanismo di persistenza che la giustificherebbe.
Il monitoraggio di CVE-2025-43300 su sistemi Apple rimane rilevante indipendentemente dall'aggiornamento WhatsApp, trattandosi di falla OS-level con CVSS 10 CRITICAL.
Perché questo attacco segnala uno spostamento del mercato spyware
La novità strategica non è la zero-click in sé — già documentata su iMessage, SMS, FaceTime — ma la migrazione verso piattaforme messaging mainstream con installazione di massa. Sfruttare WhatsApp significa raggiungere miliardi di dispositivi con un unico punto d'ingresso, anziché dipendere da esposizioni OS specifiche per target individuali.
Il chaining app-OS inoltre disintermedia la responsabilità: WhatsApp corregge il proprio vettore, Apple il proprio parser immagini, ma l'attaccante opera su entrambi. Questa frammentazione complica la risposta coordinata e diluisce la pressione pubblica su singoli vendor.
La raccomandazione di factory reset, insolitamente drastica per una vulnerabilità CVSS 5.4, indica che Meta valuta il rischio complessivo superiore al punteggio CVSS della sola sua falla. Il dossier non documenta il motivo specifico di questa valutazione, ma la combinazione con CVE-2025-43300 e il contesto spyware governativo forniscono un quadro interpretativo plausibile.
Per il settore security, il caso conferma che la linea di demarcazione tra vulnerabilità consumer e infrastruttura critica si è dissolta: un'app di messaggistica quotidiana può diventare il canale di accesso per operazioni di intelligence mirate contro individui a rischio.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2025/08/whatsapp-issues-emergency-update-for.html
- https://nvd.nist.gov/vuln/detail/CVE-2025-55177
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://thehackernews.com/search/label/Threat%20Intelligence
- https://thehackernews.com/search/label/Vulnerability