【ITニュース解説】WhatsApp Patches Zero-Click Exploit Targeting iOS and macOS Devices

ITニュース概要

WhatsAppがiPhoneやMac版アプリのセキュリティ弱点を修正した。リンク済みデバイスの同期メッセージの不備を突かれ、ユーザーが操作しなくても情報が盗まれる「ゼロクリック攻撃」が悪用された可能性があった。緊急アップデートが提供された。

ITニュース解説

WhatsAppのメッセージングアプリに、AppleのiOSデバイスとmacOSデバイスを標的とするセキュリティ上の重大な脆弱性が発見され、これに対応するため緊急のアップデートが提供された。この問題は「ゼロクリックエクスプロイト」と呼ばれる非常に危険な種類の攻撃経路であり、実際に悪用された可能性があるとWhatsAppは警告している。この脆弱性は最近公表されたAppleの欠陥と組み合わされ、特定の個人や組織を狙った「ゼロデイ攻撃」に利用された可能性も示唆されている。 今回の脆弱性には「CVE-2025-55177」という識別子が割り当てられており、その深刻度は共通脆弱性評価システム（CVSS）スコアで5.4と評価されている。CVSSスコアは、脆弱性の深刻度を示す共通の指標であり、5.4という数値は中程度のリスクを示しているが、その攻撃手法が「ゼロクリック」であるという点で、実際の危険性は数値以上に高いと解釈できる。 ゼロクリックエクスプロイトとは、攻撃の標的となったユーザーが何の操作も行わなくても、例えば特定のリンクをクリックしたり、不審なファイルをダウンロードしたり、アプリを開いたりといった行動を一切しなくても、デバイスが攻撃を受けてしまうという極めて巧妙で危険な攻撃手法だ。通常のフィッシング詐欺やマルウェア感染では、ユーザーが何らかの行動を起こすことが攻撃成功の前提となる場合が多い。しかし、ゼロクリック攻撃では、悪意のあるメッセージやデータが送られてくるだけで、ユーザーがそれに気づかないうちに、デバイスの制御を奪われたり、個人情報が抜き取られたり、スパイウェアがインストールされたりする可能性がある。これは、デバイスとユーザーの間にほとんど防御策がない状態に等しく、ユーザーが攻撃を受けていることに気づくことすら困難なため、検出と対策が非常に難しい。 この特定の脆弱性の原因は、「リンクされたデバイスの同期メッセージの認証が不十分」であったことにある。WhatsAppでは、スマートフォンで利用するアカウントを、PCやタブレットなどの複数のデバイスにリンクさせて利用できる機能がある。これにより、ユーザーはどのデバイスからでも同じチャット履歴にアクセスし、メッセージを送受信できる。この複数のデバイス間でチャット履歴や設定情報を同期するために、特別な「同期メッセージ」がやり取りされている。今回の脆弱性は、この同期メッセージの認証プロセスに問題があったということだ。 具体的には、本来は正当なデバイス間でのみ受け入れられるべき同期メッセージが、悪意のある第三者によって偽造され、それが不正な情報としてターゲットのデバイスに処理されてしまう可能性があったと考えられる。認証が不十分であるため、システムは悪意のあるメッセージを正規のものと誤認し、それを基に不適切な操作を実行してしまうのだ。この結果、攻撃者はターゲットのデバイス上で任意のコードを実行したり、機密情報にアクセスしたりすることが可能になってしまう恐れがあった。 「in the wild」で悪用された可能性があるという指摘は、この脆弱性が理論上の危険性だけでなく、実際に攻撃に利用された事例が確認されている、または強く疑われていることを意味する。これは、緊急性が非常に高い状況であり、早急な対策が必要とされる理由の一つだ。多くの企業は、脆弱性が発見されると、それが実際に悪用される前に修正プログラムをリリースしようと努めるが、今回はすでに攻撃が確認されている可能性があり、その影響はさらに深刻である。 また、「ゼロデイ攻撃」という言葉も重要な意味を持つ。ゼロデイ攻撃とは、ソフトウェアの脆弱性が開発者や一般に公開される前に、その脆弱性を悪用して行われる攻撃のことだ。脆弱性の存在が知られていないため、対策パッチも存在せず、攻撃を防御することが極めて困難である。今回の場合、WhatsAppやAppleが脆弱性の存在を認識し、修正プログラムを開発するまでの間に、すでに攻撃者がその情報を入手し、攻撃を仕掛けていた可能性があるということになる。 さらに、今回のWhatsAppの脆弱性が、最近明らかになったAppleの脆弱性と組み合わせて悪用された可能性があるという点も注目すべきだ。これは、単一のソフトウェアの欠陥だけでなく、複数のソフトウェアやシステムの脆弱性を組み合わせることで、より強力で広範な攻撃が可能になるという、現代のサイバー攻撃の複雑さを示している。例えば、AppleのOSの脆弱性を悪用して最初の侵入経路を確保し、その上でWhatsAppの脆弱性を利用して、より深いアクセス権限を得たり、別の目的を達成したりといった多段階の攻撃シナリオが考えられる。 このような高度なサイバー攻撃からシステムやユーザーを守るためには、ソフトウェア開発者だけでなく、システムを構築・運用する役割を担う専門家の存在が非常に重要となる。彼らは常に最新のセキュリティ情報を収集し、脆弱性診断を行い、適切なセキュリティ対策を講じ、そして緊急時には迅速なパッチ適用やシステムの更新を行う責任を負っている。 ユーザーとして最も重要な対策は、WhatsAppアプリを直ちに最新バージョンにアップデートすることだ。WhatsAppが提供した緊急アップデートには、この脆弱性を修正するためのパッチが含まれているため、アプリを最新の状態に保つことで、既知の攻撃からデバイスを保護できる。常に利用しているソフトウェアやOSのアップデート通知には注意を払い、可能な限り速やかに適用することが、サイバー攻撃から身を守るための基本的ながら最も効果的な手段の一つである。 今回の事例は、スマートフォンやパソコンといった身近なデバイスで利用するアプリにも、常にセキュリティ上のリスクが存在すること、そしてそのリスクが時にはユーザーの知らないうちにデバイス全体を脅かすほど深刻なものであることを改めて示している。システム開発や運用に携わることを目指す者としては、このようなセキュリティ問題の発生メカニズム、その危険性、そして対策方法について深く理解しておくことが、安全なシステムを設計・構築・運用するために不可欠な知識となる。