WhatsApp, l’attacco che non richiede nemmeno un clic: perché lasciare un vecchio iPhone senza aggiornamenti può diventare un rischio serio

Non serve aprire un link. Non serve scaricare un file. Non serve comunicare una password. In alcuni attacchi informatici particolarmente sofisticati può essere sufficiente che il contenuto malevolo arrivi sul dispositivo.

È questo l’aspetto che rende particolarmente interessante – e preoccupante – una vulnerabilità che ha coinvolto WhatsApp e i dispositivi Apple e che dovrebbe ricordarci quanto sia sbagliato considerare gli aggiornamenti di iPhone semplicemente come l’introduzione di nuove funzioni.

Dietro quel pulsante “Aggiorna” molto spesso ci sono correzioni di sicurezza che possono fare una differenza enorme.

A richiamare l’attenzione sul problema è Marco Vespucci, CEO di SOS Informatic, che quotidianamente lavora nel settore dell’assistenza e della riparazione di smartphone.

«Siamo abituati a pensare che per essere truffati o hackerati sia necessario commettere un errore: cliccare un link, installare qualcosa o comunicare una password. Gli attacchi zero-click cambiano completamente questo paradigma. Ed è proprio per questo che tenere aggiornato uno smartphone non dovrebbe più essere considerato facoltativo.»

Cosa è successo

Il caso ruota intorno a due vulnerabilità identificate come CVE-2025-55177 e CVE-2025-43300.

La prima riguardava WhatsApp per iOS, WhatsApp Business per iOS e WhatsApp per Mac.

Il problema interessava il sistema utilizzato da WhatsApp per gestire alcuni messaggi di sincronizzazione dei dispositivi collegati. Nelle versioni vulnerabili, un controllo di autorizzazione incompleto poteva permettere a un soggetto esterno di provocare l’elaborazione sul dispositivo della vittima di contenuti provenienti da un URL arbitrario.

Da sola è già una vulnerabilità importante.

Ma è la sua possibile combinazione con una seconda falla a rendere il quadro particolarmente serio.

Meta ha infatti dichiarato che CVE-2025-55177 potrebbe essere stata utilizzata insieme alla vulnerabilità Apple CVE-2025-43300 in attacchi sofisticati contro utenti specificamente selezionati.

La seconda vulnerabilità si trovava in ImageIO, un componente dei sistemi Apple utilizzato per l’elaborazione delle immagini.

Apple ha spiegato che l’elaborazione di un file immagine appositamente modificato poteva provocare una corruzione della memoria e ha dichiarato di essere a conoscenza di segnalazioni secondo cui il problema potrebbe essere stato sfruttato in attacchi estremamente sofisticati contro individui specifici.

In altre parole, due debolezze differenti potevano essere concatenate: una nell’applicazione e una nel sistema operativo.

Ed è qui che entra in gioco il concetto di zero-click.

Zero-click: quando non devi sbagliare nulla

Molte persone associano ancora un attacco informatico al classico messaggio:

“Il tuo pacco è bloccato, clicca qui.”

Oppure:

“Il tuo conto è stato sospeso.”

In questi casi serve un’azione della vittima.

Un attacco zero-click appartiene a una categoria completamente diversa.

Il dispositivo può elaborare automaticamente determinate informazioni ricevute da un’applicazione prima ancora che l’utente decida consapevolmente di aprirle.

Questo significa che, in determinate condizioni e in presenza di vulnerabilità specifiche, l’attacco può iniziare senza che la vittima prema volontariamente su un link o installi un’applicazione.

È importante però fare una precisazione.

Non significa che oggi chiunque possa inviare un normale messaggio WhatsApp e automaticamente prendere il controllo di qualsiasi iPhone.

Le vulnerabilità documentate sono state corrette e gli attacchi osservati sono stati descritti dagli stessi produttori come sofisticati e rivolti a soggetti specifici.

Ma il caso dimostra qualcosa di molto importante per tutti.

Un dispositivo non aggiornato conserva vulnerabilità che un dispositivo aggiornato non possiede più.

Quali versioni erano vulnerabili?

Per WhatsApp, la vulnerabilità CVE-2025-55177 interessava:

• WhatsApp per iOS nelle versioni precedenti alla 2.25.21.73;
• WhatsApp Business per iOS nelle versioni precedenti alla 2.25.21.78;
• WhatsApp per Mac nelle versioni precedenti alla 2.25.21.78.

Sul fronte Apple, CVE-2025-43300 è stata corretta su numerose generazioni di sistemi operativi.

Per i dispositivi rimasti su iOS 16, Apple ha distribuito iOS 16.7.12 anche per iPhone 8, iPhone 8 Plus e iPhone X.

Ed è un particolare che merita attenzione.

“Il mio iPhone è vecchio, tanto non devo aggiornarlo”

È esattamente il ragionamento da evitare.

Un telefono può continuare ad accendersi, telefonare, utilizzare WhatsApp e apparentemente funzionare perfettamente.

Questo non significa necessariamente che sia sicuro.

Anzi, proprio i dispositivi più vecchi tendono frequentemente a rimanere per mesi senza aggiornamenti perché il proprietario pensa:

“Funziona, perché dovrei toccarlo?”

La risposta è semplice.

Perché un aggiornamento non serve soltanto a cambiare l’aspetto dell’iPhone o aggiungere nuove funzioni. Serve anche a chiudere porte che qualcuno potrebbe aver imparato ad aprire.

Cosa deve fare chi possiede un vecchio iPhone?

Il primo controllo richiede meno di un minuto.

Su iPhone basta entrare in:

Impostazioni → Generali → Aggiornamento Software

e verificare se sia disponibile un aggiornamento.

Non bisogna necessariamente aspettarsi l’ultima versione principale di iOS: alcuni dispositivi più vecchi ricevono infatti aggiornamenti di sicurezza specifici per la versione del sistema che possono ancora utilizzare.

Il secondo controllo riguarda WhatsApp.

Bisogna aprire App Store, verificare gli aggiornamenti disponibili e assicurarsi di utilizzare la versione più recente dell’applicazione.

Lo stesso principio vale per WhatsApp Business.

Aggiornare WhatsApp ma non iOS non basta

Questo è probabilmente uno degli insegnamenti più interessanti del caso.

La sicurezza di uno smartphone è una catena.

C’è l’applicazione.

C’è il sistema operativo.

Ci sono i componenti che elaborano immagini, video, documenti e contenuti provenienti dalla rete.

Ci sono il browser e i servizi che lavorano continuamente in background.

Aggiornare solamente WhatsApp lasciando iOS fermo da mesi o anni significa proteggere un anello della catena lasciandone potenzialmente scoperti altri.

E vale anche il contrario.

Per questo sistema operativo e applicazioni dovrebbero essere mantenuti entrambi aggiornati.

Cinque controlli che consiglio di fare subito

1. Controllare la versione di iOS

Impostazioni → Generali → Aggiornamento Software.

Se è presente un aggiornamento compatibile con il proprio dispositivo, installarlo dopo aver effettuato un backup.

2. Aggiornare WhatsApp

Controllare dall’App Store di avere l’ultima versione disponibile.

3. Attivare gli aggiornamenti automatici

Molte persone rimandano gli aggiornamenti per settimane. L’automazione riduce il rischio di dimenticarsene.

4. Controllare i dispositivi collegati a WhatsApp

Da WhatsApp è possibile verificare quali dispositivi risultano associati al proprio account. Qualunque dispositivo sconosciuto deve essere considerato un campanello d’allarme e scollegato.

5. Non ignorare comportamenti anomali

Riavvii inspiegabili, applicazioni che si comportano in maniera insolita o altre anomalie non dimostrano automaticamente un’infezione, ma se compaiono insieme ad altri elementi sospetti meritano un controllo.

E se il mio iPhone non riceve più aggiornamenti?

Qui bisogna fare una distinzione importante.

Un telefono vecchio non diventa improvvisamente inutilizzabile.

Ma arriva un momento in cui bisogna valutare non soltanto se funzioni ancora, bensì se continui a ricevere un livello adeguato di supporto di sicurezza per l’utilizzo che ne facciamo.

Un dispositivo sul quale conserviamo fotografie, documenti, email, account social, applicazioni bancarie, password e conversazioni personali contiene ormai una parte enorme della nostra vita digitale.

Continuare a utilizzarlo per anni senza alcun aggiornamento di sicurezza significa aumentare progressivamente l’esposizione a vulnerabilità che nel frattempo diventano pubblicamente conosciute.

Non bisogna avere paura. Bisogna aggiornare.

Il messaggio finale non deve essere “WhatsApp non è sicuro” o “gli iPhone possono essere hackerati con un messaggio”.

Sarebbe una semplificazione sbagliata.

Il vero messaggio è molto più utile.

La sicurezza informatica non riguarda soltanto ciò che facciamo. Riguarda anche quanto manteniamo aggiornati gli strumenti che utilizziamo.

«Per anni abbiamo detto alle persone di non cliccare sui link sospetti, ed è ancora un consiglio fondamentale», conclude Marco Vespucci di SOS Informatic. «Ma oggi dobbiamo aggiungerne un altro: non ignorate gli aggiornamenti. Perché esistono vulnerabilità nelle quali il problema non nasce da ciò che fa l’utente, ma da ciò che il dispositivo può elaborare automaticamente. Un telefono aggiornato oggi può significare una vulnerabilità in meno domani.»

E forse la domanda da farsi non è più:

“Il mio iPhone funziona ancora?”

ma:

“Il mio iPhone è ancora aggiornato e protetto?”