Una vulnerabilidad en WhatsApp con ataque 0-click afecta a dispositivos iPhone, iPad y macOS al recibir una imagen DNG modificada

Hace muy poco que WhatsApp estrenaba aplicación para los iPads, una app que complementaba la disponibilidad de la aplicación de mensajería de Meta para el ecosistema de Apple. Pero se ha descubierto que este ecosistema tiene una vulnerabilidad que algunos usuarios con malas intenciones pueden aprovechar para hacerse con el control de tu teléfono, tablet u ordenador de Apple. Aprovechando una vulnerabilidad de tipo 0-click RCE (Remote Code Execution) un usuario puede ejecutar código malicioso en tu dispositivo.

Una vulnerabilidad en WhatsApp permite ejecutar código malicioso con ataque tipo 0-click

La vulnerabilidad, que explota a las ya conocidas como CVE-2025-55177 y CVE-2025-43300, compromete la seguridad de tu iPhone, iPad o Mac. Los usuarios que quieran hacer uso de esta tendrán que enviar una imagen modificada DNG que el usuario recibe de forma habitual. La peligrosidad está en que se trata de un ataque 0-click, donde no es necesario tocar o abrir la imagen recibida, sino que al recibirse se pone en marcha automáticamente este código malicioso, sin oportunidad para prevenirlo.

El usuario no puede hacer nada para evitarlo, al recibir la imagen se pone en marcha el código inyectado

Inicialmente, la vulnerabilidad CVE-2025-55177 aprovecha un fallo en la comprobación del mensaje recibido, una comprobación de que su origen es legítimo y de un dispositivo vinculado. WhatsApp piensa que es un mensaje de un remitente confiable y lo recibe sin problema, para dar paso a la vulnerabilidad CVE-2025-43300. Esta segunda cuenta con un fallo en la biblioteca de análisis de archivos DNG, tomándolo por válido y ejecutándolo para su visualización, sin necesidad de abrirlo gracias a la previsualización.

Al enviar una imagen DNG modificada, WhatsApp la procesará y causará un error de corrupción de memoria que dará lugar a la ejecución del código inyectado. Un código que podría emplearse para acceder al contenido de tu dispositivo Mac, iPad o iPhone, como tus fotos, tus datos de contactos o información almacenada en él. Además, puede que esta vulnerabilidad esté oculta y no puedas ver tan siquiera qué dispositivos están afectados.

Esta permanece oculta y no podrás comprobar si tu dispositivo ha sido infectado

Por el momento parece que esto solo afecta a dispositivos Apple, aunque también el autor está investigando un posible problema similar con dispositivos Samsung en una vulnerabilidad asociada a ellos CVE-2025-21043.

Es recomendable actualizar la aplicación, así como el sistema operativo de tu dispositivo para obtener las últimas actualizaciones de seguridad, aquí no hay precaución a tomar, ya que si alguien te envía la imagen poco podrás hacer para detenerlo.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!