TL;DR (idei principale)
- Două vulnerabilități tip zero-day exploatate în atacuri au fost reparate de Apple.
- Afectează toate dispozitivele recente Apple: iPhone, iPad, Mac, TV, Vision Pro.
- Update-ul este disponibil și e bine să-l instalezi.
- Este a cincea oară în 2025 când Apple corectează o vulnerabilitate zero-day.
Două vulnerabilități tip zero-day, deja exploatate în atacuri extrem de sofisticate, au determinat Apple să lanseze miercuri, 16 aprilie, o serie de actualizări de securitate pentru iOS, macOS, tvOS, iPadOS și visionOS.
Problemele identificate, CVE-2025-31200 și CVE-2025-31201, afectează o gamă largă de dispozitive, de la iPhone XS până la Apple Vision Pro, și sunt corectate în update-ul iOS 18.4.1 și versiunile echivalente pentru celelalte sisteme de operare Apple, notează Bleeping Computer.
Cele două vulnerabilități tip zero-day, explicate
Prima vulnerabilitate (CVE-2025-31200) a fost detectată în modulul CoreAudio și poate permite executarea de cod de la distanță printr-un fișier media audio modificat malițios. În termeni simpli, dacă victima ascultă un astfel de fișier, atacatorul ar putea prelua controlul asupra dispozitivului.
Această breșă a fost descoperită de echipele Apple și Google Threat Analysis Group și a fost rezolvată prin introducerea unor verificări mai stricte asupra aplicațiilor care încearcă să acceseze memoria.
A doua vulnerabilitate (CVE-2025-31201) apare în RPAC și a fost identificată chiar de Apple. Ea permite ocolirea mecanismului Pointer Authentication (PAC), o tehnologie importantă în apărarea împotriva exploatării memoriei în iOS. În cel mai rău caz, un atacator cu acces de scriere sau citire pe dispozitiv putea ocoli acest mecanism de protecție (RPAC). Soluția Apple a fost eliminarea completă a codului vulnerabil.
Deși Apple spune că aceste vulnerabilități tip zero-day au fost folosite doar în atacuri „extrem de sofisticate” asupra unor „specific targeted individuals”, nu este motiv de relaxare. De fiecare dată când apare o astfel de cale de atac, devine doar o chestiune de timp până ce metoda se răspândește și poate afecta un public mai larg.
Lista dispozitivelor afectate include:
- iPhone XS și modelele mai noi;
- Toate modelele de iPad lansate după a 3-a generație;
- Mac-uri compatibile cu macOS Sequoia 15.4.1;
- Apple TV HD și toate modelele Apple TV 4K;
- Apple Vision Pro.
Cu aceste două noi actualizări de securitate, Apple ajunge la un total de cinci vulnerabilități tip zero-day remediate doar în 2025. Primele trei au fost rezolvate în lunile ianuarie (CVE-2025-24085), februarie (CVE-2025-24200) și martie (CVE-2025-24201), semn că ritmul atacurilor este ridicat, chiar și în ecosistemul Apple, cunoscut pentru accentul pe securitate.
