هشدار آژانس امنیت سایبری آمریکا درباره رخنه‌ی روز-صفر اپل

به گزارش کارگروه امنیت خبرگزاری سایبربان، آژانس امنیت سایبری و امنیت زیرساخت (CISA) به نهادهای فدرال غیرنظامی مهلت داد تا یازدهم سپتامبر اصلاحیه مربوط به آسیب‌پذیری CVE-2025-43300 را اجرا کنند؛ رخنه‌ای که گوشی‌های آیفون، آیپدها و مک‌بوک‌های اپل را تحت تأثیر قرار می‌دهد.

اپل روز چهارشنبه اعلام کرد:

ما آگاه هستیم که این مشکل ممکن است در یک حمله فوق‌العاده پیچیده علیه افراد مشخص و هدفمند مورد سوءاستفاده قرار گرفته باشد.

آژانس امنیت سایبری و امنیت زیرساخت این آسیب‌پذیری را روز پنج‌شنبه در فهرست «آسیب‌پذیری‌های مورد سوءاستفاده شناخته‌شده» ثبت کرد.

مقام‌های این سازمان میزان وخامت آن را ۸.۸ از ۱۰ ارزیابی کردند.

اپل به درخواست‌ها برای توضیح درباره نحوه سوءاستفاده از این رخنه پاسخی نداد.

مایورِش دانی، مدیر پژوهش امنیتی در شرکت کوالیز (Qualys) توضیح داد که این آسیب‌پذیری چارچوب نرم‌افزاری ایمیج آی او (ImageIO) اپل را تحت تأثیر قرار می‌دهد؛ بخشی اصلی در سیستم که وظیفه پردازش انواع فرمت‌های تصویری را در آی او اس (iOS)، آیپد او اس (iPadOS) و مک او اس (macOS) بر عهده دارد.

او بیان کرد:

این یک اکسپلویت بدون کلیک است که به هیچ‌گونه تعامل کاربر نیاز ندارد و صرفاً با پردازش یک فایل تصویری مخرب فعال می‌شود. چنین فایلی می‌تواند از طریق پیام‌رسان‌ها، ایمیل یا محتوای وب منتقل شود.

در کنفرانس امنیتی بلک هت (Black Hat) که دو هفته پیش برگزار شد، «آیدِن هالند» پژوهشگر امنیتی شرکت سنسیس (Censys) به خبرگزاری ریکوردد فیوچر نیوز (Recorded Future News) گفت که عاملان تهدید به دلیل مسدود شدن پیوندهای فرستاده‌شده از سوی فرستندگان ناشناس در دستگاه‌های اپل، به استفاده از تصاویر آلوده روی آورده‌اند.

او توضیح داد یکی از روش‌ها این است که افراد را وادار کنند روی تصویر کلیک کرده و آن را بارگیری کنند.

این غول فناوری در سال ۲۰۲۵ چندین وصله امنیتی برای آسیب‌پذیری‌های روز-صفر منتشر کرده است که بسیاری از آنها بنا به اعلام اپل و شرکت‌های امنیتی، به فروشندگان جاسوس‌افزار پیچیده نسبت داده می‌شوند.

چندین شرکت در این حوزه با تحریم‌ها و شکایت‌های بین‌المللی به دلیل هدف قرار دادن ویژه سامانه‌های اپل مواجه شده‌اند.

بسیاری از این آسیب‌پذیری‌ها به دولت‌هایی فروخته شده که از آنها برای هدف قرار دادن رقبای سیاسی، مخالفان و دیگران استفاده کرده‌اند.

دانی یادآور شد که حتی در سال ۲۰۲۳ نیز زنجیره اکسپلویت بلست پس (BLASTPASS)، شامل CVE-2023-41064 و CVE-2023-41061، چارچوب ایمیج آی او را هدف گرفته و برای استقرار جاسوس‌افزار «پگاسوس» شرکت گروه ان اس او (NSO Group) به‌کار رفته بود.

ساتنام نارنگ، پژوهشگر ارشد شرکت تنیبل (Tenable) اظهار داشت که اپل به ندرت در اطلاعیه‌های امنیتی خود از عباراتی مانند «حمله فوق‌العاده پیچیده علیه افراد مشخص و هدفمند» استفاده می‌کند.

او افزود:

در حالی که تأثیر این رخنه بر عموم مردم محدود است، اما چون مهاجمان سوءاستفاده‌کننده از CVE-2025-43300 دامنه‌ای خاص و هدفمند داشته‌اند، اپل می‌خواهد افکار عمومی نسبت به تهدید حساس شده و فوراً اقدام کنند. احتمال اینکه کاربر عادی هدف قرار گیرد اندک است، اما هرگز صفر نیست.