Des failles corrigées dans iOS et WhatsApp pour bloquer une campagne de piratage

Le 29 aout, Amnesty International indiquait sur son compte X que WhatsApp envoyait des messages pour prévenir certaines personnes qu’elles avaient fait l’objet d’une attaque au cours des 90 jours précédents.

Le même jour, TechCrunch donnait des précisions. On apprenait ainsi que Meta avait corrigé une faille de sécurité dans son service de messagerie. Dans le bulletin lié, l’entreprise indique que certaines versions de la messagerie étaient sensibles à un problème d’autorisation incomplète des messages de synchronisation entre les appareils liés par un même compte. Par une URL spécialement conçue, des pirates pouvaient déclencher le traitement d’un contenu.

Meta indiquait également que cette vulnérabilité, estampillée CVE-2025-55177, n’était pas exploitée seule. Les pirates se servaient également d’une faille corrigée par Apple quelques jours plus tôt, notamment dans la mise à jour 18.6.2 d’iOS. Nommée CVE-2025-43300, elle était peu détaillée : elle résidait dans ImageIO et pouvait être exploitée au moyen d'une image spécialement conçue pour entrainer une corruption en mémoire. Apple évoquait une « attaque extrêmement sophistiquée contre des individus ciblés spécifiques ».

Il s’agirait, comme l’a indiqué Amnesty International, d’une « campagne avancée de logiciels espions ». L’attaque serait particulièrement redoutable puisque de type « zero click ». Autrement dit, elle ne demande aucune interaction par l’utilisateur et s’exécute silencieusement. Elle aurait affecté aussi bien des iPhone que des smartphones Android, et « plusieurs personnes de la société civile » feraient partie des victimes. Dans le cas d’Android cependant, on ne sait pas quelle autre faille aurait été utilisée.

À TechCrunch, Meta a confirmé que la faille avait été détectée et corrigée « il y a quelques semaines » et que « moins de 200 » notifications de sécurité avaient été envoyées pour prévenir les personnes concernées. Il s’agit a priori d’une campagne très ciblée, mais le nom du logiciel espion ou de l’organisation qui en est à l’origine n’est pas connu.

Le profil de l’attaque rappelle les campagnes ayant utilisé le logiciel Pegasus, édité par NSO Group. Rappelons qu’en début d’année, Meta annonçait avoir coupé une campagne de piratage ayant eu lieu en décembre en Italie. L’entreprise avait accusé Paragon, l’un des principaux concurrents de NSO Group, d’avoir fourni les moyens de réaliser cette campagne. Bien que le gouvernement italien ait nié toute implication, Paragon a retiré l’Italie de ses clients, comme l’avait pointé The Guardian le 6 février.

• Paragon : l’iPhone d’un journaliste européen a bien été infecté par le logiciel espion