Apple telah merilis pembaruan keamanan darurat untuk menambal bug nol-hari yang digambarkan perusahaan sebagai dieksploitasi dalam serangan “sangat canggih”.
Kerentanan ini dilacak sebagai CVE-2025-24201 dan ditemukan di mesin browser web lintas platform Webkit yang digunakan oleh browser web Safari Apple dan banyak aplikasi dan browser web lainnya di macOS, iOS, Linux, dan Windows.
“Ini adalah perbaikan tambahan untuk serangan yang diblokir di iOS 17.2,” kata pembuat iPhone dalam nasihat keamanan yang dikeluarkan pada hari Selasa. “Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi dalam serangan yang sangat canggih terhadap individu yang ditargetkan spesifik pada versi iOS sebelum iOS 17.2.”
Apple mengatakan penyerang dapat mengeksploitasi kerentanan CVE-2025-24201 menggunakan konten web yang dibuat dengan jahat untuk keluar dari konten web Sandbox.
Perusahaan telah memperbaiki masalah tulis yang tidak terikat ini dengan cek yang lebih baik untuk mencegah tindakan yang tidak sah IOS 18.3.2, iPados 18.3.2, MacOS Sequoia 15.3.2, Visionos 2.3.2Dan Safari 18.3.1.
Daftar perangkat yang dipengaruhi oleh zero-hari ini cukup luas, karena bug mempengaruhi model yang lebih tua dan lebih baru, termasuk:
- iPhone XS dan kemudian,
- iPad Pro 13-inci, iPad Pro 12.9-inci generasi ke-3 dan kemudian, iPad Pro 11-inci generasi pertama dan kemudian, iPad Air Generasi ke-3 dan kemudian, generasi ke-7 iPad dan kemudian, dan iPad Mini Generasi ke-5 dan kemudian
- Mac yang menjalankan MacOS Sequoia
- Apple Vision Pro
Apple belum mengaitkan penemuan kerentanan keamanan ini dengan salah satu peneliti dan belum menerbitkan detail mengenai serangan “sangat canggih” yang dikaitkan dengan itu.
Meskipun bug nol hari kemungkinan hanya dieksploitasi dalam serangan yang ditargetkan, memasang pembaruan keamanan hari ini sesegera mungkin sangat disarankan untuk memblokir upaya serangan yang berpotensi berkelanjutan.
Dengan kerentanan ini, Apple telah memperbaiki tiga hari nol sejak awal tahun, pertama di bulan Januari (CVE-2025-24085) dan yang kedua di bulan Februari (CVE-2025-24200).
Tahun lalu, perusahaan menambal enam lagi nol-hari yang dieksploitasi di alam liar: pertama di bulan Januari, dua di bulan MaretA Keempat di bulan MeiDan Dua lagi di bulan November.
Namun, satu tahun sebelumnya, Apple menambal 20 kerentanan nol-hari yang dieksploitasi dalam serangan, termasuk:
- dua zero-days (CVE-2023-42916 dan CVE-2023-42917) pada bulan November
- dua zero-days (CVE-2023-42824 dan CVE-2023-5217) pada bulan Oktober
- lima zero-days (CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992, dan CVE-2023-41993) pada bulan September
- dua zero-days (CVE-2023-37450 dan CVE-2023-38606) pada bulan Juli
- Tiga hari nol (CVE-2023-32434, CVE-2023-32435, dan CVE-2023-32439) pada bulan Juni
- Tiga hari nol lagi (CVE-2023-32409, CVE-2023-28204, dan CVE-2023-32373) pada bulan Mei
- dua zero-days (CVE-2023-28206 dan CVE-2023-28205) pada bulan April
- Dan Webkit lain nol-hari (CVE-2023-23529) pada bulan Februari
