Apple: Διορθώνει δύο zero-day που εκμεταλλεύονται σε επιθέσεις iPhone

Η Apple κυκλοφόρησε επείγουσες ενημερώσεις ασφαλείας για να διορθώσει δύο ευπάθειες τύπου “zero-day”, οι οποίες χρησιμοποιήθηκαν σε μια «εξαιρετικά εξελιγμένη επίθεση» εναντίον συγκεκριμένων στόχων με iPhone.

Δείτε επίσης: Η ransomware ομάδα RansomEXX χρησιμοποίησε zero-day του Windows CLFS

Advertisement

Οι δύο ευπάθειες εντοπίζονται στα CoreAudio (CVE-2025-31200) και RPAC (CVE-2025-31201), επηρεάζοντας τόσο το iOS, όσο και τα macOS, tvOS, iPadOS και visionOS.

Η ευπάθεια CVE-2025-31200 στο CoreAudio εντοπίστηκε από την Apple και την ομάδα Threat Analysis της Google. Μπορεί να αξιοποιηθεί μέσω της επεξεργασίας ενός ηχητικού stream μέσα σε κακόβουλα διαμορφωμένο αρχείο πολυμέσων, επιτρέποντας την απομακρυσμένη εκτέλεση κώδικα στη συσκευή.

Η Apple διόρθωσε επίσης την ευπάθεια CVE-2025-31201, την οποία εντόπισε η ίδια. Πρόκειται για ένα σφάλμα στο RPAC, που δίνει τη δυνατότητα σε επιτιθέμενους με δικαιώματα ανάγνωσης ή εγγραφής να παρακάμψουν το Pointer Authentication (PAC), μια λειτουργία ασφαλείας του iOS που προστατεύει από ευπάθειες μνήμης.

Η Apple δεν έχει δώσει περισσότερες λεπτομέρειες για τον τρόπο με τον οποίο αξιοποιήθηκαν οι ευπάθειες στις επιθέσεις. Και οι δύο ευπάθειες διορθώθηκαν στις εκδόσεις iOS 18.4.1, iPadOS 18.4.1, tvOS 18.4.1, macOS Sequoia 15.4.1 και visionOS 2.4.1.

Δείτε ακόμα: Η Apple προειδοποιεί για τρία ελαττώματα zero-day

Ο κατάλογος των συσκευών που επηρεάζονται από αυτές τις ευπάθειες τύπου zero-day είναι εκτενής, καλύπτοντας τόσο παλαιότερα όσο και νεότερα μοντέλα:

• iPhone XS και νεότερα
• iPad Pro 13 ιντσών, iPad Pro 13,9 ιντσών 3ης γενιάς και νεότερα, iPad Pro 11 ιντσών 1ης γενιάς και νεότερα
• iPad Air 3ης γενιάς και νεότερα
• iPad 7ης γενιάς και νεότερα
• iPad mini 5ης γενιάς και νεότερα
• macOS Sequoia
• Apple TV HD και Apple TV 4K (όλα τα μοντέλα)
• Apple Vision Pro

Παρότι οι συγκεκριμένες ευπάθειες τύπου zero-day αξιοποιήθηκαν σε εξαιρετικά στοχευμένες επιθέσεις, συνιστάται ανεπιφύλακτα στους χρήστες να εγκαταστήσουν τις ενημερώσεις το συντομότερο δυνατό. Με τις δύο τελευταίες ευπάθειες, η Apple έχει πλέον διορθώσει συνολικά πέντε zero-day κενά ασφαλείας από την αρχή του έτους: το πρώτο τον Ιανουάριο (CVE-2025-24085), το δεύτερο τον Φεβρουάριο (CVE-2025-24200) και το τρίτο τον Μάρτιο (CVE-2025-24201).

Δείτε επίσης: Η EncryptHub εκμεταλλεύτηκε zero-day ευπάθεια του Microsoft Management Console

Η συνεχής εμφάνιση και εκμετάλλευση ευπαθειών τύπου zero-day δείχνει πόσο σημαντικό είναι το να διατηρούμε τις συσκευές μας πλήρως ενημερωμένες. Παρόλο που οι συγκεκριμένες επιθέσεις μπορεί να στοχεύουν περιορισμένο αριθμό χρηστών — όπως δημοσιογράφους, ακτιβιστές ή άτομα με υψηλό προφίλ — οι ευπάθειες αυτές μπορούν δυνητικά να αξιοποιηθούν σε ευρύτερη κλίμακα, αν δεν επιδιορθωθούν εγκαίρως.

Πηγή: bleepingcomputer