iOS und Mac im Visier – Angriffskette nutzte Apple-Bug CVE-2025-43300

Meta hat eine kritische Sicherheitslücke in WhatsApp geschlossen, die in zielgerichteten Zero-Day-Angriffen gegen Nutzer von iOS und macOS ausgenutzt wurde. Die Schwachstelle (CVE-2025-55177) erlaubte es Angreifern, ohne Interaktion des Opfers Inhalte von beliebigen URLs auf dem Zielgerät verarbeiten zu lassen – ein klassischer Zero-Click-Vektor. Bericht

Was genau wurde gefixt?

Laut dem offiziellen Advisory betraf die Lücke eine unvollständige Autorisierungsprüfung bei Synchronisationsnachrichten für verknüpfte Geräte. Betroffen waren WhatsApp für iOS vor Version 2.25.21.73, WhatsApp Business für iOS vor 2.25.21.78 sowie WhatsApp für Mac vor 2.25.21.78. Diese Versionen wurden aktualisiert und stehen über den App Store beziehungsweise die Mac-App zum Download bereit. Advisory

Teil einer Angriffskette mit Apple-Zero-Day

WhatsApp weist darauf hin, dass die Lücke in Kombination mit einer Apple-Schwachstelle (CVE-2025-43300) ausgenutzt wurde. Dieser Fehler in Apples ImageIO-Framework führte bei der Verarbeitung manipulierter Bilder zu Speicherfehlern und wurde am 20./21. August 2025 durch Updates für iOS, iPadOS und macOS behoben. Apple iOS/iPadOS Advisory, macOS Sonoma Advisory, Hintergrund

Wer war Ziel der Angriffe?

Nach bisherigen Erkenntnissen handelte es sich um hochgradig zielgerichtete Attacken gegen ausgewählte Nutzer. WhatsApp verschickte Bedrohungsbenachrichtigungen und empfiehlt betroffenen Personen unter anderem einen Geräte-Reset, weil eine tiefergehende Kompromittierung des Betriebssystems nicht ausgeschlossen werden kann. Quelle

Einordnung: Wiederkehrende Spionagekampagnen

Bereits im März 2025 musste WhatsApp eine Zero-Click-Lücke schließen, die zur Verteilung der Söldner-Spyware „Graphite“ von Paragon Solutions missbraucht worden war; parallel dokumentierten Citizen Lab und weitere Stellen entsprechende Spuren. BleepingComputer, Citizen Lab

Im Juni 2025 wurde zudem ein FreeType-Zero-Day (CVE-2025-27363) öffentlich, den Meta/WhatsApp Paragon zuordnete – ein weiterer Baustein im Werkzeugkasten kommerzieller Überwachungsanbieter. SecurityWeek

Bin ich geschützt? So prüfen und updaten Sie jetzt

WhatsApp-Version prüfen (iPhone): App Store öffnen → Profil → „Käufe“ → WhatsApp → Version. Alternativ in WhatsApp: „Einstellungen“ → „Hilfe“ → „App-Infos“.
WhatsApp-Version prüfen (Mac): WhatsApp → „Über WhatsApp“. Updates via App Store bzw. Direktdownload der Mac-App.
iOS/iPadOS/macOS updaten: iPhone/iPad: „Einstellungen“ → „Allgemein“ → „Softwareupdate“. Mac: „Systemeinstellungen“ → „Softwareupdate“.
Automatische Updates aktivieren: iOS/iPadOS: „Einstellungen“ → „Allgemein“ → „Softwareupdate“ → „Automatische Updates“. Mac: „Systemeinstellungen“ → „Allgemein“ → „Softwareupdate“ → „Automatisch aktualisieren“.

Sichere App-Versionen (oder neuer)

Plattform	Version mit Fix
WhatsApp für iOS	≥ 2.25.21.73
WhatsApp Business für iOS	≥ 2.25.21.78
WhatsApp für Mac	≥ 2.25.21.78

Quelle: WhatsApp Security Advisories (August 2025)

Apple-Versionen mit Fix für CVE-2025-43300 (ImageIO)

iOS/iPadOS 18.6.2 (sowie iPadOS 17.7.10 für ältere Modelle)
macOS Ventura 13.7.8
macOS Sonoma 14.7.8
macOS Sequoia 15.6.1

Quellen: Apple Advisory iOS/iPadOS, Apple Advisory macOS Sonoma

Best Practices zur Risikominimierung

Updates priorisieren: Erst iOS/iPadOS/macOS aktualisieren, dann WhatsApp. So wird die komplette Angriffskette geschlossen.
Benachrichtigung erhalten? Wer eine WhatsApp-Warnung über eine mögliche Kompromittierung bekommt, sollte Datensicherung machen und einen Werksreset erwägen, wie von WhatsApp empfohlen, und anschließend ohne Backup-Rückspiel aus verdächtigen Zeiträumen neu einrichten.
Verknüpfte Geräte prüfen: In WhatsApp unter „Verknüpfte Geräte“ alle unbekannten Sessions abmelden.
Angriffsoberfläche reduzieren: Unnötige iMessage-Vorschauen/Link-Previews und unsichere Profile deaktivieren; nur aus verlässlichen Quellen installieren.

Fazit

Die Kombination aus WhatsApp-Zero-Click und Apples ImageIO-Zero-Day zeigt erneut, wie professionell Söldner-Spyware-Akteure vorgehen. Wer iPhone, iPad oder Mac nutzt, sollte jetzt sowohl das Betriebssystem als auch WhatsApp auf die neuesten Versionen bringen – damit ist die bekannte Angriffskette geschlossen. Hintergrundberichte zu früheren Kampagnen liefern Citizen Lab und andere Sicherheitsquellen; sie zeigen, dass insbesondere exponierte Zielgruppen weiterhin im Fokus stehen.

VALVE Steam Deck 256GB SSD + 16GB RAM, 7″ inch,…

VALVE Steam Deck – 1tb Console – OLED (PC)

Angebot

JSAUX Steam Deck Dock 6-in-1-Dockingstation…

Letzte Aktualisierung am 16.08.2025 / Affiliate Links / Bilder von der Amazon Product Advertising API.Alle hier angezeigten Preise und Verfügbarkeiten gelten zum angegebenen Zeitpunkt der Einbindung und können sich jederzeit ändern.Der Preis und die Verfügbarkeit, die zum Kaufzeitpunkt auf Amazon.de angezeigt werden, sind maßgeblich. Als Amazon-Partner verdienen wir an qualifizierten Verkäufen.