CVE-2025-43510

Falha de corrupção de memória no kernel do XNU, causada por checagem inadequada de estado de lock ao lidar com memória compartilhada entre processos, afetando iOS/iPadOS, macOS, tvOS, visionOS e watchOS. O CVSS 7.8 sugere gravidade moderada-alta, mas o dado que realmente importa é o registro no catálogo KEV da CISA: há exploração ativa confirmada, associada a uma cadeia de exploit full-chain para iPhone ("DarkSword") usada por múltiplos vendors de spyware comercial e atores ligados a Estado contra alvos na Arábia Saudita, Turquia, Malásia e Ucrânia desde novembro de 2025.

O componente afetado é o Kernel (XNU), na lógica que gerencia memória compartilhada entre processos. Segundo a Apple, a causa é uma checagem de estado de lock insuficiente antes de operações sobre essa região compartilhada — um padrão típico de condição de corrida (check-then-use) em que o estado do lock pode mudar entre a verificação e o uso efetivo da memória, permitindo que um processo corrompa dados que deveriam estar protegidos por sincronização (aproxima-se de CWE-667/CWE-362). O vetor CVSS AV:L confirma que não é uma falha remota isolada: exige código já em execução local no dispositivo.

O crédito da descoberta é "Apple" (sem pesquisador externo nomeado), padrão que normalmente indica identificação interna durante investigação de incidente ou resposta a exploração já em curso, e não via programa de recompensas — consistente com a entrada aparecer no advisory apenas em 12 de dezembro de 2025, embora as correções (iOS 18.7.2/26.1 etc.) tenham sido lançadas já em 3–5 de novembro de 2025. Ou seja: o bug foi corrigido silenciosamente semanas antes de a Apple documentar publicamente o CVE.

Impacto declarado pela Apple: "a malicious application may cause unexpected changes in memory shared between processes" — corrupção de memória compartilhada controlada por um app malicioso local, com potencial de escalonamento de privilégio/quebra de isolamento entre processos, dado o C:H/I:H/A:H do vetor CVSS.

Pré-condição real: o atacante precisa de código nativo já em execução no dispositivo — via app maliciosa instalada (UI:R, o usuário precisa executá-la) ou, em cenário de cadeia de exploit, via payload entregue por um exploit anterior no navegador (ex.: falha em JavaScriptCore). Isoladamente, esta CVE não é um vetor de entrada remoto; ela serve como etapa de escalonamento de privilégio/corrupção de memória dentro de um chain maior.

O relatório da Google Threat Intelligence Group (GTIG) sobre a cadeia "DarkSword" — referenciado no catálogo desta CVE — descreve seis vulnerabilidades usadas em conjunto para comprometimento full-chain de iOS 18.4 a 18.7, entregues via websites com engenharia social (ex.: página falsa de Snapchat, snapshare[.]chat) que carregam um loader JavaScript e buscam exploits de RCE remotamente. O texto disponível da Google nomeia explicitamente três dessas vulnerabilidades — CVE-2025-31277 e CVE-2025-43529 (corrupção de memória em JavaScriptCore, usadas para RCE inicial) e CVE-2026-20700 (bypass de Pointer Authentication Codes no dyld) — mas não confirma textualmente que a CVE-2025-43510 esteja entre as seis nomeadas na íntegra do artigo. A associação vem da catalogação da fonte para este CVE, do padrão de crédito "Apple" e do registro simultâneo no KEV, o que é consistente com o uso da falha como componente de escalonamento de privilégio/sandbox escape na mesma janela temporal, mas não é uma confirmação explícita de vínculo direto.

Os grupos observados usando a cadeia (UNC6748 e outros, incluindo UNC6353) entregaram payloads finais das famílias de spyware GHOSTBLADE, GHOSTKNIFE e GHOSTSABER após comprometimento completo. A complexidade de exploração do full-chain é alta (requer seis exploits encadeados e infraestrutura de entrega), típica de fornecedores de spyware comercial, não de ataques de massa oportunistas.

Atualizar para as versões corrigidas listadas pela Apple é a única mitigação real e completa: iOS 18.7.2/iPadOS 18.7.2, iOS 26.1/iPadOS 26.1, macOS Sequoia 15.7.2, macOS Sonoma 14.8.2, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Não há flag de configuração, patch de kernel ou controle compensatório que neutralize especificamente essa falha de lock state em dispositivos não atualizados — é um bug de kernel, sem superfície configurável pelo usuário final.

Para quem não pode atualizar imediatamente e está em risco elevado (jornalistas, ativistas, dissidentes, executivos-alvo de espionagem), a própria Apple e a Google recomendam habilitar o Modo de Bloqueio (Lockdown Mode), que reduz a superfície de ataque ao desabilitar recursos comumente abusados por exploit chains (JIT em WebKit para visitantes não confiáveis, certos protocolos de mensagens/anexos, conexões de acessórios com dispositivo bloqueado). Isso não elimina o risco de uma app maliciosa já instalada explorar o bug de kernel, mas dificulta a entrega inicial via navegador que costuma preceder esse tipo de escalonamento.

Restringir instalação de apps a fontes oficiais e usar MDM para bloquear sideload reduz a chance do vetor local (AV:L, UI:R exige execução de código no dispositivo), mas não corrige a vulnerabilidade — é mitigação de superfície, não do bug em si. Não existe mitigação via WAF ou controle de rede, já que a falha não é explorável remotamente por si só.

Não há assinatura ou indicador de comprometimento publicado especificamente para o bug de lock state no kernel isoladamente. Os sinais documentados pela pesquisa da Google referem-se à cadeia de exploit como um todo ("DarkSword"): domínios de entrega com temas de engenharia social (ex.: snapshare[.]chat), páginas com JavaScript obfuscado que verificam sessionStorage para evitar reinfecção, redirecionamento via protocolo x-safari-https para forçar abertura em Safari em dispositivos Chrome, e presença pós-comprometimento de processos/payloads das famílias GHOSTBLADE, GHOSTKNIFE ou GHOSTSABER. Dispositivos que não atualizaram desde novembro de 2025 e que acessaram sites suspeitos de espionagem direcionada são o cenário de maior preocupação; não há telemetria de kernel padrão que isole exploração deste CVE específico.