Επείγουσα προειδοποίηση Apple για επιθέσεις σε iPhone και iPad – Ποιες συσκευές επηρεάζονται και τι πρέπει να κάνετε

 

Κρίσιμα κενά ασφαλείας στο WebKit επέτρεπαν εκμετάλλευση μέσω κακόβουλων ιστοσελίδων

Η Apple προχώρησε στην έκδοση επειγουσών ενημερώσεων ασφαλείας για το σύνολο σχεδόν του οικοσυστήματός της καθώς διαπιστώθηκαν κενά ασφαλείας που χρησιμοποιήθηκαν στο πλαίσιο «εξαιρετικά εξελιγμένων και στοχευμένων επιθέσεων», χωρίς ωστόσο να δοθούν λεπτομέρειες για τους δράστες ή τα θύματα. Το γεγονός ότι οι επιθέσεις φαίνεται να είχαν περιορισμένο εύρος παραπέμπει περισσότερο σε επιχειρήσεις κατασκοπευτικού λογισμικού υψηλής τεχνογνωσίας παρά σε μαζική κυβερνοεγκληματική δραστηριότητα.

Και οι δύο ευπάθειες εντοπίζονται στο WebKit, τη μηχανή απόδοσης ιστοσελίδων που χρησιμοποιεί το Safari αλλά και όλους τους browsers στο iOS, λόγω των περιορισμών που επιβάλλει η Apple. Αυτό αυξάνει αισθητά τον κίνδυνο, καθώς σε ορισμένα σενάρια αρκεί η απλή επίσκεψη σε μια κακόβουλη ιστοσελίδα για να ενεργοποιηθεί η εκμετάλλευση, χωρίς καμία επιπλέον ενέργεια από τον χρήστη.

Σύμφωνα με το επίσημο δελτίο ασφαλείας της Apple, οι δύο zero-day ευπάθειες έχουν καταγραφεί με τους κωδικούς CVE-2025-43529 και CVE-2025-14174 και χρησιμοποιήθηκαν στις ίδιες πραγματικές επιθέσεις. Η εταιρεία επιβεβαίωσε ότι τα κενά ασφαλείας επηρέαζαν εκδόσεις του iOS πριν από το iOS 26 και ότι οι επιθέσεις στόχευαν «συγκεκριμένα άτομα», διατύπωση που συνήθως υποδηλώνει υψηλής αξίας στόχους.

Η CVE-2025-43529 αφορά ευπάθεια τύπου use-after-free στο WebKit, η οποία μπορεί να οδηγήσει σε αυθαίρετη εκτέλεση κώδικα. Μέσω κακόβουλα διαμορφωμένου διαδικτυακού περιεχομένου, ένας επιτιθέμενος θα μπορούσε να εκμεταλλευτεί σφάλμα στη διαχείριση μνήμης του browser και να εκτελέσει δικό του κώδικα στη συσκευή του θύματος. Η ανακάλυψη της συγκεκριμένης ευπάθειας αποδίδεται στην Ομάδα Ανάλυσης Απειλών της Google, στοιχείο που συχνά συνδέεται με παρακολούθηση δραστηριοτήτων κρατικών φορέων ή εμπορικών spyware.

Η δεύτερη ευπάθεια, CVE-2025-14174, σχετίζεται επίσης με αλλοίωση μνήμης στο WebKit. Αν και η Apple δεν την περιγράφει ρητά ως ευπάθεια εκτέλεσης κώδικα, τέτοιου τύπου σφάλματα μπορούν συχνά να συνδυαστούν με άλλα κενά ασφαλείας ώστε να επιτευχθεί πλήρης παραβίαση μιας συσκευής. Και αυτή η ευπάθεια εντοπίστηκε από κοινού από την Apple και την Ομάδα Ανάλυσης Απειλών της Google.

Ιδιαίτερη σημασία έχει το γεγονός ότι η Apple έκανε λόγο για «ενεργή εκμετάλλευση στο πεδίο», όρος που χρησιμοποιείται μόνο όταν υπάρχουν επιβεβαιωμένα περιστατικά πραγματικών επιθέσεων και όχι απλώς θεωρητικοί κίνδυνοι. Τα προβλήματα αντιμετωπίστηκαν, σύμφωνα με την εταιρεία, μέσω βελτιωμένης διαχείρισης μνήμης και αυστηρότερων μηχανισμών επικύρωσης, χωρίς να δοθούν περαιτέρω τεχνικές λεπτομέρειες.

Οι διορθώσεις διατέθηκαν σε όλα τα υποστηριζόμενα λειτουργικά συστήματα της Apple, συμπεριλαμβανομένων των iOS, iPadOS, macOS, Safari, watchOS, tvOS και visionOS. Στις επηρεαζόμενες συσκευές περιλαμβάνονται το iPhone 11 και νεότερα μοντέλα, πολλές γενιές iPad Pro, το iPad Air από την τρίτη γενιά και μετά, το iPad όγδοης γενιάς και νεότερα, καθώς και το iPad mini από την πέμπτη γενιά και εξής, καλύπτοντας τη συντριπτική πλειονότητα των συσκευών που βρίσκονται σήμερα σε ενεργή χρήση. Οι ενημερώσεις είναι διαθέσιμες στις εκδόσεις iOS 26.2 και iPadOS 26.2, iOS 18.7.3 και iPadOS 18.7.3, macOS Tahoe 26.2, tvOS 26.2, watchOS 26.2, visionOS 26.2 και Safari 26.2. Επειδή όλοι οι browsers στο iOS βασίζονται υποχρεωτικά στο WebKit, το ίδιο υποκείμενο πρόβλημα επηρέαζε και εφαρμογές όπως ο Chrome στο iOS.

Η Apple συνιστά στους χρήστες να εγκαταστήσουν άμεσα τις ενημερώσεις, τονίζοντας ότι οι zero-day επιθέσεις στοχεύουν συσκευές με ξεπερασμένο λογισμικό. Παράλληλα, προτείνει αυξημένη προσοχή σε συνδέσμους, ακόμη και όταν προέρχονται από γνωστές επαφές, περιορισμό της έκθεσης μέσω browser και, για άτομα υψηλού κινδύνου, ενεργοποίηση της λειτουργίας Lockdown Mode. Η προσεκτική διαχείριση προσωπικών δεδομένων και η επαγρύπνηση για ασυνήθιστη συμπεριφορά της συσκευής μπορούν επίσης να λειτουργήσουν προληπτικά.

Αν και η Apple δεν αποκάλυψε ποιοι στοχοποιήθηκαν ούτε τον ακριβή μηχανισμό των επιθέσεων, το μοτίβο θυμίζει προηγούμενες εκστρατείες spyware που είχαν ως στόχο δημοσιογράφους, ακτιβιστές και πολιτικά πρόσωπα. Με τις τελευταίες αυτές διορθώσεις, η εταιρεία έχει πλέον αντιμετωπίσει επτά zero-day ευπάθειες που εκμεταλλεύτηκαν ενεργά μέσα στο 2025, επιβεβαιώνοντας ότι το WebKit παραμένει κρίσιμο σημείο άμυνας για την ασφάλεια των συσκευών της