CVE-2025-55177 là lỗi thiếu xác thực trong cơ chế xử lý tin nhắn đồng bộ giữa các thiết bị. Kẻ tấn công có thể ép thiết bị mục tiêu xử lý nội dung từ một URL tùy ý. Các phiên bản bị ảnh hưởng gồm WhatsApp cho iOS trước 2.25.21.73, WhatsApp Business cho iOS trước 2.25.21.78 và WhatsApp cho macOS trước 2.25.21.78. Lỗ hổng có điểm CVSS là 8,0.
 |
| CVE-2025-55177 là lỗi thiếu xác thực trong cơ chế xử lý tin nhắn đồng bộ giữa các thiết bị. |
Lỗ hổng xuất phát từ sai sót kiểm tra phân quyền trong tính năng “Thiết bị liên kết” của WhatsApp, cho phép kẻ tấn công thao túng tin nhắn đồng bộ và buộc thiết bị nạn nhân xử lý nội dung độc hại từ các đường dẫn bất kỳ. Chuyên gia bảo mật nhận định, lỗi này không chỉ mở ra nguy cơ đánh cắp dữ liệu, cài mã độc, mà còn có thể trở thành bàn đạp cho các cuộc tấn công quy mô lớn hoặc gián điệp mạng.
Dù chưa ghi nhận chiến dịch ransomware cụ thể nào khai thác CVE-2025-55177, nhiều nhóm tội phạm mạng đang ráo riết tận dụng điểm yếu đồng bộ đa thiết bị để tấn công “thầm lặng” mà không cần nạn nhân tương tác trực tiếp. Trong bối cảnh đó, CISA đặc biệt khuyến cáo doanh nghiệp, tổ chức và người dùng cá nhân cần thực hiện các biện pháp như: Cập nhật WhatsApp lên phiên bản mới nhất ngay khi Meta Platforms phát hành bản vá; Giám sát lưu lượng mạng và các yêu cầu đồng bộ bất thường; Thực hiện theo hướng dẫn Lệnh Hoạt động Bắt buộc BOD-22-01 của CISA về giảm thiểu lỗ hổng trong dịch vụ đám mây; Cân nhắc tạm vô hiệu hóa tính năng “Thiết bị liên kết” trong môi trường rủi ro cao.
Việc CISA đưa CVE-2025-55177 vào danh mục KEV đã nhấn mạnh mức độ cấp bách của sự cố, đồng thời cảnh báo rằng nếu không kịp thời khắc phục, người dùng WhatsApp toàn cầu có thể đối mặt làn sóng tấn công tinh vi, nguy hiểm. Chính vì vậy, mọi tổ chức và cá nhân cần hành động ngay để tránh thiệt hại đáng tiếc.
Khôi Nguyên
Bình luận