WhatsApp vừa phát hành bản cập nhật khẩn cấp để xử lý một lỗ hổng bảo mật trên ứng dụng iOS và macOS, vốn đã bị lợi dụng trong các cuộc tấn công có chủ đích.
Theo thông tin từ công ty, lỗ hổng dạng zero-click (mã định danh CVE-2025-55177) ảnh hưởng đến WhatsApp trên iOS trước phiên bản 2.25.21.73, WhatsApp Business cho iOS trước bản 2.25.21.78 và WhatsApp cho Mac trước bản 2.25.21.78.
Trong khuyến cáo bảo mật công bố hôm thứ Sáu, WhatsApp cho biết việc phân quyền chưa hoàn chỉnh trong quá trình đồng bộ tin nhắn trên thiết bị liên kết có thể cho phép kẻ tấn công gửi yêu cầu từ một URL tùy ý và buộc thiết bị nạn nhân xử lý nội dung.
Công ty cũng đánh giá lỗ hổng này, khi kết hợp với một lỗ hổng cấp hệ điều hành trên nền tảng Apple (CVE-2025-43300), có thể đã bị khai thác trong những cuộc tấn công tinh vi nhắm vào một nhóm nhỏ người dùng.
Đầu tháng này, Apple cũng phát hành bản vá khẩn cấp cho CVE-2025-43300 và xác nhận rằng lỗ hổng đã bị khai thác trong một cuộc tấn công “cực kỳ tinh vi”.
Hiện tại, WhatsApp và Apple vẫn chưa công bố thêm chi tiết về các cuộc tấn công. Tuy nhiên, theo ông Donncha Ó Cearbhaill, Trưởng phòng Phòng thí nghiệm An ninh của Tổ chức Ân xá Quốc tế, WhatsApp đã cảnh báo một số người dùng rằng họ có thể là mục tiêu của một chiến dịch phần mềm gián điệp trong vòng 90 ngày qua.
Trong thông báo gửi tới những người có khả năng bị ảnh hưởng, WhatsApp khuyến nghị người dùng khôi phục cài đặt gốc cho thiết bị và đảm bảo luôn cập nhật hệ điều hành cũng như các phần mềm lên phiên bản mới nhất.
Trước đó, vào tháng 3, WhatsApp cũng từng phải vá một lỗ hổng zero-day khác sau khi các nhà nghiên cứu của Citizen Lab (Đại học Toronto) phát hiện nó bị lợi dụng để cài đặt phần mềm gián điệp Graphite do Paragon phát triển. Khi đó, WhatsApp xác nhận chiến dịch này đã nhắm vào nhiều đối tượng, trong đó có nhà báo và các thành viên xã hội dân sự.
Đây là lời nhắc nhở mạnh mẽ rằng người dùng nên thường xuyên cập nhật ứng dụng và hệ điều hành để giảm thiểu nguy cơ bị tấn công qua các lỗ hổng bảo mật nghiêm trọng.