WhatsAppでゼロクリック脆弱性、標的型攻撃で悪用の可能性(CVE-2025-55177)|セキュリティと脆弱性のニュース-セキュリティ対策 Lab

投稿日時: 2025年09月02日更新日時: 2025年09月02日

WhatsAppのセキュリティチームは、iOS版・Business版・Mac版に存在したゼロクリック脆弱性「CVE-2025-55177」を修正しました。リンク済みデバイス間の同期メッセージの認可が不十分だったため、本来無関係の第三者でも被害端末に任意URLのコンテンツ処理を誘発できる点が問題でした。

単体でも危険ですが、AppleプラットフォームのOS側ゼロデイ「CVE-2025-43300（Image I/Oの境界外書き込み）」と組み合わされることで、

ユーザー操作ほぼ不要のリモートコード実行につながる連鎖攻撃が成立するとWhatsAppは評価しています。

1 脆弱性の概要
2 サイバー攻撃への悪用が容易に可能
3 技術的な連鎖（なぜ危険が増幅したか）

脆弱性の概要

今回のWhatsApp側の脆弱性は、以下のバージョンで修正されています。対象ユーザーは直ちに更新してください。
iOS版はv2.25.21.73以降、iOS向けBusiness版はv2.25.21.78以降、Mac版はv2.25.21.78以降が安全なバージョンです。あわせて、AppleのiOS／iPadOS／macOSの最新セキュリティアップデートを適用し、Image I/Oのゼロデイ（CVE-2025-43300）も必ず塞いでください。

サイバー攻撃への悪用が容易に可能

攻撃者は、被害者の端末に対してリンクデバイス同期メッセージを悪用し、WhatsAppアプリに攻撃者が用意したURLの内容を処理させることができました。ここで読み込ませるペイロードに、AppleのImage I/Oでトリガーされる境界外書き込みを絡めると、画像等に仕込んだデータを足がかりにOS権限の任意コード実行まで到達する可能性が生まれます。ゼロクリックチェーンの性質上、受信側にとっては気づきにくく、痕跡も限定的です。

こうした手口は、国家レベルや監視ベンダに紐づく標的型攻撃で見られる振る舞いに近いといえます。

技術的な連鎖（なぜ危険が増幅したか）

WhatsApp側の不備で任意URLのコンテンツ処理が誘発され、端末が攻撃者管理のリソースにアクセスします。続いて、OS側のImage I/Oが細工された画像等を処理する際に境界外書き込みが発生し、メモリ破壊→任意コード実行へと進む可能性があります。前段が“配信”、後段が“実行”の役割を分担しており、組み合わせることでゼロクリック脆弱性となり悪用されると気づくことができません。