CVE-2025-55177

Falha de autorização incompleta no mecanismo de sincronização de dispositivos vinculados do WhatsApp para iOS e macOS, que permitia a um usuário sem relação com a vítima forçar o processamento de conteúdo vindo de uma URL arbitrária no dispositivo dela. A Meta e a CISA confirmam exploração ativa, aparentemente combinada com uma falha de sistema operacional da Apple (CVE-2025-43300), em ataques direcionados a um conjunto reduzido e específico de alvos — não é uma campanha de massa.

O problema (CWE-863, autorização incorreta) está no fluxo de sincronização de mensagens entre dispositivos vinculados de uma mesma conta WhatsApp. O servidor/cliente não validava corretamente se a mensagem de sincronização de conteúdo tinha origem legítima e relacionada ao destinatário, permitindo que uma mensagem desse tipo, originada por um usuário não relacionado à conta alvo, fosse aceita e processada como se viesse de um dispositivo vinculado confiável.

O efeito prático é que o atacante conseguia fazer o cliente WhatsApp da vítima buscar e processar conteúdo de uma URL arbitrária controlada por ele, sem interação do usuário (UI:N no vetor CVSS) e sem exigir que o atacante tivesse qualquer vínculo social ou técnico prévio com a conta alvo além de um nível baixo de privilégio (PR:L) — plausivelmente apenas ser um usuário comum do WhatsApp capaz de disparar o fluxo de sincronização.

O CVSS 3.1 (5.4, AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N) reflete impacto moderado isolado: confidencialidade e integridade baixas, sem impacto em disponibilidade. Isoladamente essa CVE não entrega execução de código — ela entrega ao atacante a capacidade de fazer o dispositivo do alvo buscar e processar um recurso remoto escolhido por ele, o que é o pré-requisito perfeito para encadear uma segunda falha que processe esse conteúdo de forma insegura.

É exatamente esse encadeamento que a Meta descreve: em combinação com CVE-2025-43300 (falha de nível de sistema operacional em plataformas Apple), o conjunto formava uma cadeia capaz de comprometer o dispositivo sem interação do usuário — um zero-click. A Meta não detalha publicamente o mecanismo interno exato da sincronização nem o payload usado nos ataques observados.

O vetor primário exige apenas rede (AV:N) e um nível baixo de privilégio da parte do atacante (PR:L) — não autenticação administrativa nem acesso à conta da vítima —, sem qualquer interação da vítima (UI:N). Isso é consistente com a descrição da Meta de que um 'usuário não relacionado' conseguia acionar o processamento da mensagem de sincronização contra um alvo escolhido, sugerindo abuso da infraestrutura de mensageria/sincronização do próprio WhatsApp e não de uma configuração incomum do cliente.

Sozinha, a falha entrega 'apenas' a capacidade de forçar o dispositivo da vítima a buscar/processar conteúdo de uma URL controlada pelo atacante — não é execução de código por si só. O valor real da falha, segundo a Meta, veio de encadeá-la com CVE-2025-43300, uma vulnerabilidade de nível de sistema operacional em plataformas Apple: a primeira entrega o gatilho remoto e sem interação, a segunda processa o conteúdo malicioso de forma insegura, resultando em comprometimento do dispositivo.

A Meta e a CISA confirmam que essa cadeia foi usada em ataques sofisticados contra usuários específicos e escolhidos — não há indício de exploração massiva ou automatizada contra a base geral de usuários. O CVSS traz o subvetor E:F (exploit code maturo/funcional) e RC:C (relatório confirmado), e a entrada no catálogo KEV da CISA (adicionada em 02/09/2025, prazo de mitigação 23/09/2025) corrobora exploração real documentada, ainda que direcionada.

A correção é atualizar para as versões corrigidas pela Meta: WhatsApp para iOS a partir da v2.25.21.73, WhatsApp Business para iOS a partir da v2.25.21.78, e WhatsApp for Mac a partir da v2.25.21.78. Não há paliativo de configuração divulgado pela Meta — a falha está no lado servidor/protocolo de sincronização de dispositivos vinculados e não é algo que o usuário final possa desabilitar via ajuste de app.

Como o vetor de exploração real documentado depende do encadeamento com CVE-2025-43300 (falha de plataforma Apple), atualizar o WhatsApp sem também garantir o iOS/macOS totalmente corrigido (patch da Apple para CVE-2025-43300) deixa a cadeia potencialmente ainda viável em cenários semelhantes — trate as duas atualizações como par indissociável nesse caso específico.

Não há mitigação compensatória equivalente a uma correção completa: como o abuso ocorre no nível de sincronização entre dispositivos vinculados de contas legítimas, remover dispositivos vinculados suspeitos e revisar a lista de dispositivos conectados na conta é um controle de higiene razoável, mas não substitui a atualização do aplicativo.

Não há indicadores técnicos de log ou tráfego publicados pela Meta ou pela CISA para identificar tentativas de exploração desta falha especificamente — o mecanismo opera dentro do protocolo interno de sincronização entre dispositivos vinculados do WhatsApp, ao qual pesquisadores externos não têm visibilidade direta. Na ausência de telemetria pública, a única indicação prática de comprometimento é a revisão da lista de dispositivos vinculados na própria conta (Configurações > Dispositivos Conectados) em busca de sessões não reconhecidas, e a atenção a alertas de segurança que a própria Meta possa emitir para contas específicas identificadas como alvos.