اپل در یک بهروزرسانی امنیتی اضطراری، دو آسیبپذیری Zero-Day در WebKit را که بهطور فعال در حملات واقعی مورد سوءاستفاده قرار گرفته بودند، برای طیف گستردهای از محصولات خود پچ کرد؛ از جمله iOS، iPadOS، macOS، Safari، watchOS و visionOS.
اپل تأیید کرده که این نقصها در حملات بسیار پیچیده و هدفمند علیه برخی کاربران خاص مورد استفاده قرار گرفتهاند؛ نشانهای واضح از حملات جاسوسافزاری سطح بالا (Mercenary Spyware).
📌 جزئیات آسیبپذیریهای Webkit
1️⃣ CVE-2025-43529
🔥 نوع: Use-After-Free
⚠️ تأثیر: اجرای کد دلخواه (RCE)
🧠 توضیح:
پردازش محتوای وب مخرب در WebKit میتواند باعث استفاده از حافظه آزادشده شود و در نهایت منجر به اجرای کد مهاجم گردد.
2️⃣ CVE-2025-14174 – مشترک با Chrome
🔥 نوع: Memory Corruption
📊 امتیاز CVSS: 8.8 (High)
🧠 توضیح:
نقص دسترسی خارج از محدوده حافظه (Out-of-Bounds) در کتابخانه ANGLE، مشخصاً در Metal Renderer.
📌 نکته مهم:
این همان آسیبپذیریای است که گوگل چند روز قبل در Chrome پچ کرده بود؛ نشانهای از weaponization مشترک Cross-Platform.
🎯 چه کسانی این آسیب پذیری ها را کشف کردند؟
Apple Security Engineering & Architecture (SEAR)
Google Threat Analysis Group (TAG)
📍 TAG بهطور مستقیم در کشف هر دو آسیبپذیری نقش داشته که معمولاً با حملات جاسوسی دولتی و پیمانکاری گره خورده است.
🧠 تحلیل امنیتی Vulnerbyte
این دو نکته بسیار مهم هستند:
🔹 1. WebKit = سطح حمله سراسری در iOS
در iOS و iPadOS، همه مرورگرها (Chrome، Edge، Firefox و…) مجبور به استفاده از WebKit هستند.
یعنی:
یک Zero-Day در WebKit ≠ فقط Safari
بلکه کل اکوسیستم مرور وب اپل
🔹 2. الگوی حمله: Mercenary Spyware
عبارت اپل:
“extremely sophisticated attack against specific targeted individuals”
این جمله معمولاً در موارد زیر دیده میشود:
NSO / Pegasus-like Toolchains
حملات دولتی یا پیمانکاری
Exploit Chain چندمرحلهای (Browser → Sandbox Escape → Spyware)
🧩 نسخهها و دستگاههای پچشده
📱 iOS / iPadOS
iOS 26.2 / iPadOS 26.2 – iPhone 11 به بعد
iOS 18.7.3 / iPadOS 18.7.3 – iPhone XS به بعد
💻 macOS
macOS Tahoe 26.2
Safari 26.2 (Sonoma و Sequoia)
📺 سایر پلتفرمها
tvOS 26.2
watchOS 26.2
visionOS 26.2 (Apple Vision Pro)
📊 آمار نگرانکننده سال 2025
با این دو مورد، اپل تاکنون در سال 2025:
🔴 ۹ آسیب پذیری Zero-Day که در حملات واقعی Exploit شدهاند را پچ کرده است.
نمونهها:
📌 روند کاملاً صعودی است.
🛡️ توصیههای عملی امنیتی
اگر در سازمان یا پروژهات با محصولات اپل سر و کار داری:
✔️ فوراً همه دستگاهها را آپدیت کن
✔️ Safari و WebViewها را جدی بگیر
✔️ روی iOS، به لینکها و محتوای وب ناشناس حساس باش
✔️ کاربران VIP (مدیران، خبرنگاران، فعالان) را جداگانه Hardening کن
✔️ فرض را بر Exploit شدن Browser بگذار، نه امن بودن آن
