Kerngegevens
- Leverancier
- Soort software
- –
- Getroffen versies
- WhatsApp for iOS eerder dan 2.25.21.73
- WhatsApp Business for iOS eerder dan 2.25.21.78
- WhatsApp for Mac eerder dan 2.25.21.78
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WhatsApp for iOS 2.25.21.73
- WhatsApp Business for iOS 2.25.21.78
- WhatsApp for Mac 2.25.21.78
- CVE gepubliceerd
- 29 augustus 2025
- Op de KEV-lijst sinds
- 2 september 2025
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WhatsApp voor iOS, WhatsApp Business voor iOS en WhatsApp voor Mac werden berichten voor de synchronisatie van gekoppelde apparaten niet volledig gecontroleerd op toestemming. Daardoor kon iemand die je niet kent ervoor zorgen dat jouw apparaat inhoud van een willekeurige webadres (URL) ging verwerken. Volgens WhatsApp is dit lek samen met een lek in het besturingssysteem van Apple (CVE-2025-43300) mogelijk gebruikt in een geavanceerde aanval op specifieke doelwitten.
Wie loopt risico?
Je loopt risico als je een oudere versie van WhatsApp voor iOS, WhatsApp Business voor iOS of WhatsApp voor Mac gebruikt. De aanval die bekend is, was gericht op specifieke personen en niet op het grote publiek. Het lek wordt actief misbruikt, dus het is verstandig om je app bij te werken, ook als je zelf geen bijzonder doelwit denkt te zijn.
Wat moet je doen?
Controleer je versie
Open de App Store op je iPhone of iPad of de Mac en kijk welke versie van WhatsApp of WhatsApp Business je gebruikt.
Werk WhatsApp bij
Installeer de nieuwste versie. De lekken zijn opgelost in WhatsApp voor iOS 2.25.21.73, WhatsApp Business voor iOS 2.25.21.78 en WhatsApp voor Mac 2.25.21.78.
Houd ook je besturingssysteem bijgewerkt
Het lek werd mogelijk gecombineerd met een lek in het besturingssysteem van Apple. Installeer daarom ook de beschikbare updates voor iOS en macOS.
Lees het advies van de leverancier
Meer details staan in de beveiligingsmeldingen van WhatsApp op whatsapp.com/security/advisories/2025/.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een geval van onvolledige autorisatie (CWE-863) bij de verwerking van synchronisatieberichten voor gekoppelde apparaten. Een niet-gerelateerde gebruiker kon daardoor de verwerking van inhoud van een willekeurige URL op het apparaat van het doelwit activeren. De aanval verloopt via het netwerk, vereist weinig rechten en geen handeling van de gebruiker. De CVSS-vector is CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N, met een lage impact op vertrouwelijkheid en integriteit. WhatsApp meldt dat het lek in combinatie met CVE-2025-43300 mogelijk is gebruikt in een gerichte aanval. Het lek staat in de KEV-catalogus van CISA.
CVSS-vector (versie 3.1, basisscore 5,4, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N- Zwakheid (CWE)
- CWE-863 · Onjuiste autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 13,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 2 september 2025
- Deadline van CISA
- 23 september 2025
- Gebruikt door ransomwaregroepen
- Niet bekend