El 25 de agosto de 2025, Apple emitió una actualización de seguridad urgente para mitigar una vulnerabilidad crítica de zero-click (CVE-2025-43300) en su framework Image I/O. La falla permitía el procesamiento de archivos de imagen manipulados que podían desencadenar escrituras fuera de los límites de la memoria y la ejecución arbitraria de código sin necesidad de interacción del usuario. Este tipo de exploit, comúnmente clasificado como zero-click, es especialmente peligroso para los poseedores de criptomonedas, ya que puede usarse para comprometer aplicaciones de billeteras y acceder a claves privadas almacenadas en un dispositivo.
El aviso de Apple indicó que existen evidencias de que la vulnerabilidad ha sido explotada en ataques sofisticados en el mundo real contra objetivos de alto valor. Las plataformas afectadas incluyen iOS 18.6.2, iPadOS 18.6.2 y 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 y Ventura 13.7.8. La compañía mejoró la verificación de límites en la biblioteca Image I/O para corregir deficiencias en el manejo de memoria que permitían escrituras fuera de rango.
Los expertos en seguridad advierten que la naturaleza zero-click del exploit elimina los disparadores típicos impulsados por el usuario, como abrir un documento o hacer clic en un enlace. En su lugar, actores maliciosos pueden incrustar cargas útiles dentro de los metadatos de imágenes distribuidas a través de plataformas de mensajería como iMessage. Al recibirlas, las rutinas automáticas de renderizado de imágenes del dispositivo procesarían los datos maliciosos, conduciendo al compromiso del dispositivo y el posible robo de información sensible, incluyendo credenciales de billeteras de criptomonedas, frases de recuperación y tokens de autenticación de intercambios.
Juliano Rizzo, fundador de la firma de ciberseguridad Coinspect, enfatizó el riesgo elevado para los usuarios de activos digitales. Recomendó que los objetivos de alto valor roten inmediatamente sus claves privadas y migren sus fondos a billeteras de hardware. Para usuarios generales, Apple aconsejó la instalación rápida de las actualizaciones de seguridad y la verificación de las versiones de software instaladas, advirtiendo que retrasar el parche podría dejar los dispositivos expuestos a nuevos ataques.
El proveedor de análisis de blockchain CertiK destacó que vulnerabilidades similares de zero-click han sido aprovechadas por actores estatales en campañas previas. La nueva falla de Apple subraya la necesidad de una investigación continua de vulnerabilidades y prácticas proactivas de divulgación. Marca el sexto zero-day abordado por Apple en 2025, un ritmo récord que refleja las crecientes capacidades adversarias en el entorno real.
Se insta a las organizaciones que manejan operaciones de criptomonedas a gran escala a realizar auditorías exhaustivas de dispositivos, aplicar políticas estrictas de actualización y considerar soluciones de defensa contra amenazas móviles que puedan detectar comportamientos anómalos indicativos de exploits zero-click. También se aconseja a los desarrolladores de software en el ecosistema cripto aislar los procesos de billetera y minimizar las superficies de ataque desacoplando operaciones críticas de firma del código de aplicaciones de propósito general.
Con el despliegue del parche ya activo, Apple reafirmó su compromiso con la mitigación rápida de vulnerabilidades y la colaboración con la comunidad de investigadores en seguridad. Los usuarios son dirigidos a los canales de soporte de Apple para instrucciones de actualización y orientación adicional sobre cómo proteger dispositivos y activos digitales en el panorama de amenazas en evolución.
Comentarios (0)