Pozor, WhatsApp mal dve závažné chyby. Aktualizuj ho, útočníci mohli zneužiť prílohy aj odkazy

Na obrazovke dokument, po kliknutí program. Tak mohla fungovať chyba vo WhatsAppe pre Windows, ktorá používateľovi zobrazila prílohu ako jeden typ súboru, hoci systém po otvorení pracoval s iným.

Meta spolu s ňou opravila aj zraniteľnosť v mobilných verziách WhatsAppu. Tá zasahovala náhľady Instagram Reels a umožňovala odosielateľovi vložiť do správy vlastnú URL adresu.

Obe chyby WhatsApp popísal vo svojich oficiálnych bezpečnostných upozorneniach. Firma zatiaľ nemá dôkazy, že ich útočníci využili proti používateľom.

Chyba v názve súboru zamaskovala program ako bežnú prílohu

CVE-2026-23863 sa týkala WhatsAppu pre Windows vo verziách starších ako 2.3000.1032164386.258709. Slabé miesto bolo v názve prílohy. Útočník doň mohol vložiť NUL bajt a dosiahnuť, že WhatsApp zobrazil súbor inak, než ho po otvorení vyhodnotil Windows.

V chate tak mohla príloha vyzerať ako bežný dokument, hoci systém po kliknutí spustil program. Pri kontrole podozrivých súborov sa bežne pozeráš na ich typ a príponu. Tu však zavádzala už samotná aplikácia, cez ktorú súbor prišiel.

Súvisí s tým

Ruskí hackeri našli cestu do Windows počítačov. Zneužívajú chybu v programe, ktorý má nainštalovaný prakticky každý

Chyba nemenila spôsob, akým sa príloha cez chat doručila. Rozdiel vznikal medzi tým, čo WhatsApp ukázal používateľovi, a tým, ako súbor po otvorení spracoval operačný systém. Útočník tak mohol skryť jeho skutočný typ priamo za názvom prílohy.

Pre útočníka je to použiteľná návnada najmä pri faktúrach, zmluvách alebo iných očakávaných dokumentoch. Obeť na prvý pohľad nevidí nič, čo by naznačovalo, že v skutočnosti otvára program. Škodlivé prílohy cez WhatsApp sa objavujú aj v reálnych útokoch.

Program sa však nespustil už po doručení správy. K spusteniu došlo až po otvorení prílohy používateľom.

Útočník mohol v náhľade Reels podsunúť vlastnú URL adresu

CVE-2026-23866 zasahovala WhatsApp pre Android aj iOS. Dotknuté boli verzie od 2.25.8.0, oprava prišla pre Android vo verzii 2.26.7.10 a pre iPhone vo verzii 2.26.15.72.

Problém bol v náhľadoch Instagram Reels. WhatsApp pri nich pracoval s URL adresou multimediálneho obsahu, ktorú dostatočne neoveroval. Odosielateľ ju preto mohol v upravenej správe nahradiť vlastnou adresou.

V kóde WhatsAppu sa tento typ správy označoval ako AI rich response. Práve v ňom sa nachádzala adresa média, ktorú bolo možné nahradiť URL zvolenou odosielateľom.

Meta pri chybe uvádza aj custom URL scheme handlery. Takéto odkazy nemusia smerovať iba na web, ale môžu otvoriť konkrétnu aplikáciu alebo jej časť. Útočník preto nebol odkázaný len na klasické HTTP alebo HTTPS adresy.

Zverejnené informácie nepotvrdzujú, že by samotná chyba stačila na ľubovoľné spustenie kódu alebo úplné prevzatie telefónu.

Po kliknutí na Reels otvoril iPhone podstrčenú URL

Výskumník Numb3rs pri analýze iOS verzie WhatsAppu vymenil URL v náhľade Reels za adresu vlastného servera. Po kliknutí na náhľad ju iPhone otvoril a server zachytil IP adresu zariadenia, User-Agent aj ďalšie údaje odoslané pri spojení.

Rovnaký postup by sa dal použiť na presmerovanie obete na podvodnú stránku. Zneužívanie legitímnych funkcií WhatsAppu sa objavuje aj pri útokoch, ktoré sa nesnažia prelomiť samotné šifrovanie služby.

Bez kliknutia sa Numb3rsovi útok potvrdiť nepodarilo. Ďalšie testovanie narazilo na backend WhatsAppu, ktorý už odmietal registráciu starších zraniteľných verzií aplikácie. Meta potrebu kliknutia vo svojom popise CVE neuvádza, no experiment zero-click variant nepotvrdil.

Meta zatiaľ nemá dôkaz, že chyby niekto zneužil

WhatsApp pri CVE-2026-23863 ani CVE-2026-23866 neeviduje potvrdené zneužitie v reálnych útokoch. Obe chyby nahlásili výskumníci cez program Meta Bug Bounty, pri mobilnej zraniteľnosti sa na odhalení podieľal aj vlastný bezpečnostný tím Meta.