Apple kullanıcıları hedefteydi! WhatsApp'taki büyük açık ortaya çıktı!

WhatsApp, iOS ve Mac uygulamalarında tespit edilen ciddi bir güvenlik açığını kapattığını duyurdu. Şirketin yayınladığı güvenlik tavsiyesine göre, “bağlantılı cihaz senkronizasyon mesajlarında” yaşanan yetkilendirme eksikliği (CVE-2025-55177) giderildi. Bu açık, saldırganların hedef kullanıcının cihazındaki rastgele URL’lerden içerik işlemesini tetikleyebilmesine yol açıyordu.

Bu güvenlik hatasının, Ağustos ayında düzeltilen ve CVE-2025-43300 olarak takip edilen başka bir açıkla birlikte kullanıldığı ve yüksek profilli kişilere yönelik karmaşık saldırılarda zincirlendiği iddia edildi.

KİMLER HEDEF ALINDI?

Uluslararası Af Örgütü Güvenlik Laboratuvarı Başkanı Donncha Ó Cearbhaill, X üzerinden yaptığı açıklamada, Mayıs 2025’in sonlarından bu yana süren gelişmiş bir casus yazılım kampanyasının, Apple kullanıcılarını “sıfır tıklama” saldırılarıyla hedef aldığını belirtti. Bu saldırıların, kurbanın herhangi bir etkileşimini gerektirmediği vurgulandı.

TechCrunch’ın haberine göre, WhatsApp etkilenen kişilere bildirim mektupları gönderdi. Bu yazılarda, cihazların ve içerdikleri verilerin —mesajlar da dahil olmak üzere— büyük olasılıkla tehlikeye atıldığı ifade edildi.

SALDIRILARIN HEDEFLENME ŞEKLİ

Şu ana kadar hiçbir tehdit aktörü saldırının sorumluluğunu üstlenmedi. Araştırmacılar da henüz saldırıyı belirli bir gruba atfedemedi. Ancak Meta sözcüsü Margarita Franklin, şirketin “200’den az” kullanıcıya bildirim gönderdiğini açıkladı. Bu da saldırıların oldukça sınırlı ve hedef odaklı yürütüldüğünü gösteriyor.

Genellikle nadir görülen sıfır tıklama saldırıları, çoğunlukla devlet destekli casusluk faaliyetlerinde kullanılıyor. Hedefler arasında politikacılar, diplomatlar, gazeteciler, muhalifler, hükümet ajanları ve askeri personel bulunabiliyor.

DAHA ÖNCEKİ GÜVENLİK AÇIKLADI

Nisan 2025’te araştırmacılar, Apple’ın AirPlay Protokolü ve AirPlay Yazılım Geliştirme Kiti’nde (SDK) birçok güvenlik açığı tespit etmişti. Bu açıkların, uzaktan kod yürütme (RCE), ortadaki adam (MitM) ve hizmet reddi (DoS) saldırıları için kullanılabileceği açıklanmıştı. Bulgulara göre, bazı zafiyetler sıfır tıklama saldırılarında da istismar edilebilirdi.