WhatsApp, il CVSS 5.4 non basta: zero-click e sorveglianza…

WhatsApp ha rilasciato il 28 luglio 2025 l'aggiornamento che corregge CVE-2025-55177, una vulnerabilità di insufficient authorization nei messaggi di

WhatsApp ha rilasciato il 28 luglio 2025 l'aggiornamento che corregge CVE-2025-55177, una vulnerabilità di insufficient authorization nei messaggi di sincronizzazione Linked Devices. Il flaw ha alimentato attacchi zero-click attivi contro giornalisti e difensori dei diritti umani. Il punteggio CVSS 3.1 di 5.4, classificato MEDIUM dal National Vulnerability Database, non riflette il contesto di exploit attivo: la combinazione con CVE-2025-43300 di Apple ha permesso il processing di contenuti da URL arbitrari senza alcuna interazione da parte della vittima. WhatsApp ha inviato notifiche in-app a meno di 200 utenti, raccomandando il factory reset completo ai target notificati.

Limiti delle fonti: Le fonti primarie strutturate convergenti sono essenzialmente una: The Hacker News, con NVD come record formale del CVE. CyberPress.org fornisce dettagli forensi indipendenti da Forenser con data di pubblicazione anomala (2026-05-27), non verificata indipendentemente e non citata da altre fonti. Amnesty International è citata attraverso The Hacker News, non attraverso advisory autonomo.

Punti chiave

CVE-2025-55177 è classificata CWE-863 (Incorrect Authorization) con CVSS 5.4, ma è stata sfruttata in-the-wild in catena con il flaw Apple CVE-2025-43300 per attacchi zero-click
Le versioni patchate sono WhatsApp for iOS 2.25.21.73 (28 luglio 2025), WhatsApp Business for iOS 2.25.21.78 e WhatsApp for Mac 2.25.21.78 (4 agosto 2025)
Amnesty International Security Lab conferma che la campagna ha colpito individui della società civile, giornalisti e difensori dei diritti umani in una finestra di circa 90 giorni
CISA ha inserito CVE-2025-55177 nel catalogo Known Exploited Vulnerabilities con scadenza di mitigazione fissata al 23 settembre 2025

Il meccanismo dell'attacco: resync invisibile e URL arbitrari

FATTO: La vulnerabilità risiede nei messaggi di sincronizzazione tra dispositivi collegati all'account WhatsApp. Secondo la descrizione ufficiale di WhatsApp/Meta riportata da The Hacker News, il flaw "could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target's device". Un attaccante poteva forzare il dispositivo target a elaborare contenuti da un URL controllato, aggirando i controlli di autorizzazione previsti per i dispositivi Linked.

FATTO: Secondo un'analisi di Forenser pubblicata su CyberPress.org — con data anomala del 27 maggio 2026, non verificata indipendentemente — la sessione dell'attaccante non veniva registrata come Linked Device tradizionale. Il dispositivo target avrebbe mostrato uno stream continuo di eventi di resync, non visibile nell'interfaccia di gestione dei dispositivi collegati.

ANALISI EDITORIALE: Se confermato, questo pattern renderebbe difficile rilevare la compromissione attraverso i controlli standard dell'utente. La fonte non specifica se l'analisi Forenser sia stata pubblicata in contemporanea o successivamente all'incidente.

FATTO: La catena si completa con CVE-2025-43300, un out-of-bounds write nel framework ImageIO di Apple. La vulnerabilità WhatsApp forniva il vettore iniziale per il processing di URL arbitrari; il flaw Apple ha permesso l'escalation della compromissione. Apple ha descritto CVE-2025-43300 come "extremely sophisticated attack against specific targeted individuals" — attribution riferita al flaw Apple, non all'attacco WhatsApp in generale.

"Early indications are that the WhatsApp attack is impacting both iPhone and Android users, civil society individuals among them" — Donncha Ó Cearbhaill, head of Security Lab at Amnesty International

Il CVSS 5.4: fatti e contesto operativo

FATTO: Il punteggio CVSS 3.1 di 5.4 per CVE-2025-55177 riflette il vettore di attacco: rete, complessità bassa, privilegi bassi, nessuna interazione utente, scope unchanged, impatto limitato su confidenzialità e integrità, nessuna disponibilità. Questa classificazione formale è tecnicamente corretta per la vulnerabilità isolata. Il National Vulnerability Database riporta il qualificatore "NVD assessment not yet provided" per CVSS 4.0.

ANALISI EDITORIALE: Il punteggio non cattura il rischio operativo quando il flaw è inserito in una catena di exploit. Il catalogo KEV di CISA, che inserisce vulnerabilità attivamente sfruttate indipendentemente dal punteggio, rappresenta in questo caso un segnale di allerta più rilevante per il contesto operativo. La scadenza di mitigazione del 23 settembre 2025 imposta da CISA è vincolante per le agenzie federali statunitensi.

La risposta di WhatsApp e il factory reset

FATTO: WhatsApp ha adottato una comunicazione diretta con i target: notifiche in-app a "less than 200 users who may have been targeted", con la raccomandazione di eseguire il factory reset completo del dispositivo. La raccomandazione è stata limitata ai target notificati. WhatsApp non ha pubblicato un advisory tecnico autonomo direttamente linkabile.

ANALISI EDITORIALE: La fonte non specifica se il factory reset indichi che la compromissione ha superato i confini dell'app. La raccomandazione potrebbe riflettere cautela proporzionata al profilo di rischio dei target, non necessariamente evidenza di compromissione di sistema o host.

FATTO: Le versioni patchate sono disponibili per iOS e macOS; non è documentata nel brief la disponibilità di release notes che dettaglino la correzione. Donncha Ó Cearbhaill di Amnesty International ha confermato che "government spyware continues to pose a threat to journalists and human rights defenders", collocando l'incidente nel più ampio contesto delle campagne di sorveglianza commerciale.

Cosa fare adesso

FATTO: Per gli utenti che rientrano nella fascia di target notificati da WhatsApp, la piattaforma ha raccomandato il factory reset completo del dispositivo. Per tutti gli altri utenti di WhatsApp su iOS e macOS, le azioni documentate nel brief si limitano all'aggiornamento:

Aggiornare a WhatsApp for iOS 2.25.21.73 o versione successiva, o WhatsApp Business for iOS 2.25.21.78 o versione successiva
Aggiornare WhatsApp for Mac alla versione 2.25.21.78 o successiva

FATTO: Per le organizzazioni, CISA ha fissato al 23 settembre 2025 la scadenza di mitigazione per le agenzie federali statunitensi attraverso il catalogo KEV. La fonte non specifica ulteriori azioni operative per utenti non target.

Chiusura editoriale

Il caso CVE-2025-55177 illustra una tensione strutturale nella valutazione del rischio: un punteggio CVSS 5.4 classificato MEDIUM può mascherare un impatto operativo elevato quando la vulnerabilità è inserita in una catena di exploit mirata. La risposta di WhatsApp — aggiornamento d'emergenza, notifiche dirette, factory reset per i target — segnala la gravità percepita indipendentemente dalla metrica formale.

Restano non verificati l'identità del vendor o gruppo threat actor, l'eventuale impatto su Android con meccanismo identico, e la validazione della data di pubblicazione dell'analisi Forenser. La raccomandazione di factory reset, limitata ai target notificati, non costituisce prova di compromissione di sistema: la fonte non specifica l'estensione della compromissione oltre i confini dell'applicazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti