В широко распространенном мессенджере WhatsApp обнаружена уязвимость, которая позволяет злоумышленникам при физическом доступе к заблокированному Android-смартфону получить доступ к хранящимся на нем медиафайлам. Meta, по собственным данным, уже разработала патч, который сейчас распространяется. Пользователям в ближайшее время следует обращать внимание на обновления WhatsApp и своевременно их устанавливать.
Об уязвимости стало известно благодаря видео, которое исследователь безопасности Хосе Родригес опубликовал, в частности, на X (откроется в новом окне) и Youtube (откроется в новом окне). На нем демонстрируется атака. Согласно видео, злоумышленнику сначала необходимо инициировать видеозвонок в WhatsApp на целевое устройство.
После принятия звонка через меню видеозффектов можно получить доступ к локальной галерее — и это без разблокировки устройства. Открыть или отправить отдельные элементы галереи из этого режима невозможно, однако злоумышленник потенциально получает доступ к миниатюрам личных фотографий и может переснять их отдельной камерой.
Не все смартфоны уязвимы
Согласно исследованиям Notebookcheck (откроется в новом окне), атака работает не на всех Android-устройствах. Например, на Samsung Galaxy S25 Ultra воспроизвести такое поведение не удалось. Там злоумышленнику, вероятно, сначала нужно разблокировать устройство, прежде чем он сможет просмотреть содержимое галереи. Однако на Google Pixel 6 Pro и Oppo K13 атака, как сообщается, удалась. На iOS этой проблемы в принципе не существует.
Следует учитывать, что для использования уязвимости злоумышленнику необходим прямой физический доступ к целевому устройству, и он должен иметь возможность позвонить на него через WhatsApp. Атака подходит, например, для шпионажа со стороны людей из ближайшего окружения, таких как ревнивые супруги или недоброжелательные коллеги.
WhatsApp заверил на X (откроется в новом окне), что уже распространяет исправление для этой уязвимости. Однако сколько времени потребуется, чтобы оно дошло до всех устройств, неизвестно. В качестве альтернативы пользователи могут временно отозвать разрешения мессенджера на доступ к фото и видео в настройках устройства, чтобы защитить их от неожиданного доступа со стороны других лиц.