Apple telah mengeluarkan kemas kini keselamatan segera untuk pengguna iPhone dan iPad berikutan penemuan kelemahan kritikal yang sudah dieksploitasi oleh penggodam dalam serangan sasaran yang canggih. Tampung kecemasan ini menangani kerosakan serius dalam rangka kerja Image I/O yang boleh membenarkan penyerang melaksanakan kod hasad melalui imej yang dibuat khas.
Kelemahan Kritikal Membolehkan Serangan Rasuah Memori
Kerosakan keselamatan ini, dijejaki sebagai CVE-2025-43300, mewakili ancaman besar kepada pengguna peranti Apple di seluruh dunia. Kelemahan ini wujud dalam rangka kerja Image I/O, komponen teras yang membolehkan aplikasi membaca dan menulis pelbagai format fail imej merentasi ekosistem Apple. Isu ini menjelma sebagai kelemahan penulisan luar sempadan, membenarkan penyerang memanipulasi memori di luar zon penimbal yang ditetapkan.
Apabila dieksploitasi, kelemahan ini boleh menyebabkan akibat teruk termasuk ranap aplikasi, rasuah data, dan yang paling kritikal, pelaksanaan kod jauh. Penyerang boleh menjadikan kerosakan ini sebagai senjata dengan mencipta fail imej hasad yang mencetuskan kelemahan apabila diproses oleh peranti yang terjejas. Sifat canggih serangan ini menunjukkan ia mungkin sebahagian daripada kempen perisian pengintip yang ditaja negara yang menyasarkan individu bernilai tinggi.
Butiran Kelemahan
- CVE ID: CVE-2025-43300
- Jenis: Kelemahan penulisan luar sempadan
- Komponen: Rangka kerja Image I/O
- Kesan: Kerosakan memori, potensi pelaksanaan kod jarak jauh
- Status Eksploitasi: Dieksploitasi secara aktif dalam serangan tersasar
Bukti Eksploitasi Aktif Di Alam Nyata
Nasihat keselamatan Apple mengesahkan bahawa syarikat telah menerima laporan yang boleh dipercayai yang menunjukkan kelemahan ini telah dieksploitasi secara aktif dalam serangan yang sangat canggih terhadap individu sasaran tertentu. Pengakuan ini amat membimbangkan kerana ia menunjukkan kerosakan telah bergerak melampaui risiko teori kepada penggunaan dunia sebenar oleh pelaku hasad.
Metodologi serangan berkemungkinan melibatkan eksploitasi sifar-klik, di mana mangsa menerima imej hasad melalui platform pemesejan seperti iMessage atau WhatsApp. Imej ini secara automatik memuat turun dan melaksanakan perisian hasad tanpa memerlukan sebarang interaksi pengguna, menjadikan serangan ini amat berbahaya dan sukar dikesan.
Statistik Zero-Day 2025
- Jumlah kelemahan zero-day yang diperbaiki oleh Apple pada 2025: 6
- Kelemahan terkini: CVE-2025-43300 (Ogos 2025)
- Kecanggihan serangan: Amat canggih, berkemungkinan ditaja negara
- Sasaran utama: Wartawan, penentang, pemimpin perniagaan dalam sektor sensitif
Liputan Kemas Kini Menyeluruh Merentasi Ekosistem Apple
Tampung keselamatan kecemasan ini melangkaui iPhone sahaja, menunjukkan sifat meluas kelemahan ini. Apple telah mengeluarkan kemas kini untuk pelbagai versi sistem pengendalian, termasuk iOS 18.6.2, iPadOS 18.6.2, iPadOS 17.7.10, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8, dan macOS Ventura 13.7.8.
Keserasian peranti merangkumi pelbagai produk Apple. Pengguna iPhone dengan peranti dari model iPhone XS dan yang lebih baharu boleh memasang kemas kini dengan segera. Pengguna iPad merentasi pelbagai generasi, termasuk peranti iPad Pro, iPad Air, dan iPad mini dari generasi ke-5 dan seterusnya, turut dilindungi oleh tampung keselamatan ini.
Versi Yang Terjejas dan Kemas Kini
| Platform | Versi Dikemas Kini | Peranti Yang Terjejas |
|---|---|---|
| iOS | 18.6.2 | iPhone XS dan yang lebih terkini |
| iPadOS | 18.6.2, 17.7.10 | iPad Pro , iPad Air generasi ke-3+, iPad generasi ke-7+, iPad mini generasi ke-5+ |
| macOS Sequoia | 15.6.1 | Komputer Mac yang serasi |
| macOS Sonoma | 14.7.8 | Komputer Mac yang serasi |
| macOS Ventura | 13.7.8 | Komputer Mac yang serasi |
Corak Peningkatan Penemuan Zero-Day
Kelemahan terkini ini menandakan kerosakan zero-day keenam yang dieksploitasi secara terbuka yang telah ditangani oleh Apple pada tahun 2025, menyerlahkan trend yang membimbangkan dalam ancaman keselamatan yang menyasarkan platform syarikat. Kekerapan penemuan ini menunjukkan bahawa pelaku ancaman sedang meningkatkan usaha mereka untuk mencari dan mengeksploitasi kelemahan yang tidak diketahui sebelum ini dalam perisian Apple.
Pakar keselamatan menekankan bahawa walaupun serangan ini terutamanya menyasarkan individu berprofil tinggi tertentu seperti wartawan, penentang, dan pemimpin perniagaan dalam sektor sensitif, ketersediaan kod eksploit akhirnya boleh membawa kepada penggunaan yang lebih luas terhadap pengguna am.
Tindakan Segera Diperlukan Untuk Semua Pengguna
Apple amat mengesyorkan agar semua pengguna memasang kemas kini keselamatan dengan segera, tanpa mengira sama ada mereka percaya mereka berkemungkinan menjadi sasaran. Syarikat telah melaksanakan mekanisme pemeriksaan sempadan yang diperbaiki untuk mencegah eksploitasi lanjut kelemahan ini, tetapi perlindungan hanya terpakai kepada peranti yang menjalankan versi perisian yang dikemas kini.
Pengguna harus memeriksa secara manual dan memasang kemas kini daripada menunggu penggunaan automatik, kerana proses pelancaran boleh mengambil masa untuk mencapai semua peranti. Proses kemas kini melibatkan navigasi ke Settings, kemudian General, diikuti dengan Software Update untuk memuat turun dan memasang iOS 18.6.2 atau versi yang sepadan untuk peranti mereka.
