מטפלות באפל בפגיעות המאיימות על ארנקי קריפטו ללא לחיצה

ב-25 באוגוסט 2025, אפל הוציאה עדכון אבטחה דחוף כדי להפחית פגיעות קריטית מסוג זירו-קליק (CVE-2025-43300) במסגרת Image I/O שלה. הפגם איפשר עיבוד קבצי תמונה מותאמים שעלולים לגרום לכתיבה מחוץ לתחום הזיכרון ולהרצת קוד שרירותית ללא צורך באינטראקציה עם המשתמש. סוג המניפולציה הזה, המכונה לעיתים זירו-קליק, מסוכן במיוחד עבור מחזיקי מטבעות קריפטוגרפיים, שכן הוא עלול לשמש לפריצת אפליקציות ארנק ולגישה למפתחות פרטיים המאוחסנים במכשיר.

הודעת אפל ציינה כי קיימות עדויות לניצול הפגיעות במתקפות מתוחכמות בעולם האמיתי נגד מטרות בעלות ערך גבוה. הפלטפורמות שנפגעו כוללות iOS 18.6.2, iPadOS 18.6.2 ו-17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 ו-Ventura 13.7.8. החברה שיפרה את בדיקת הגבולות בספריית Image I/O לתיקון ליקויי ניהול הזיכרון שאיפשרו כתיבות מחוץ לגבולות.

מומחי אבטחה מזהירים כי טבעו של הניצול כזירו-קליק מבטל טריגרים טיפוסיים שמונעים על ידי המשתמש, כגון פתיחת מסמך או לחיצה על קישור. במקום זאת, גורמים זדוניים יכולים להטמיע משאבים בקוד המטה-נתונים של תמונות שמופצות דרך פלטפורמות הודעות כמו iMessage. עם הקבלה, שגרות העיבוד האוטומטיות של המכשיר מעבדות את הנתונים הזדוניים, מה שיוביל לפגיעה במכשיר ולגניבת מידע רגיש – כולל אשראי ארנקי קריפטו, משפטי שחזור ואסימוני אימות מסחר.

ג'וליאנו ריצו, מייסד חברת האבטחה Coinspect, הדגיש את הסיכון הגבוה למשתמשי נכסים דיגיטליים. הוא המליץ שמטרות בעלות ערך גבוה יסובבו מיד את המפתחות הפרטיים ויעבירו את הנכסים לארנק חומרה. למשתמשים כלליים, אפל המליצה להתקין את העדכוני אבטחה במהירות ולאמת את גרסאות התוכנה המותקנות, תוך אזהרה כי דחיית התיקון עלולה להשאיר את המכשירים חשופים למתקפות נוספות.

ספקית ניתוחי בלוקצ'יין CertiK ציינה כי פגיעויות דומות מסוג זירו-קליק נוצלו בעבר על ידי גורמי איום ממשלתיים בקמפיינים קודמים. הפגם החדש של אפל מדגיש את הצורך במחקר מתמיד של פגיעויות ונהלי גילוי מוקדם פרואקטיביים. זהו הפגם השישי מסוג זירו-דיי שטופל על ידי אפל בשנת 2025, קצב שיא המשקף עלייה ביכולות האויבים בשטח.

ארגונים המטפלים בפעולות קריפטו רחבות היקף מתבקשים לבצע ביקורות מכשירים יסודיות, לאכוף מדיניות עדכונים נוקשה ולשקול פתרונות הגנה מפני איומי מובייל שיכולים לזהות התנהגויות חריגות המעידות על ניצול זירו-קליק. מפתחי תוכנה באקוסיסטם הקריפטו מומלצים גם לבודד תהליכי ארנק ולהקטין את משטחי ההתקפה על ידי ניתוק פעולות חתימה קריטיות מקוד אפליקציות כלל-תכליתי.

עם ההשקה החיה של העדכון, אפל חיזקה את מחויבותה למתן פתרונות מהירים לפגיעויות ולשיתוף פעולה עם קהילת חוקרי האבטחה. המשתמשים מופנים לערוצי התמיכה של אפל לקבלת הנחיות עדכון והדרכה נוספת לאבטחת מכשירים ונכסים דיגיטליים בנוף האיומים המשתנה.