Vulnerabilitat de dia zero CVE-2025-43300

Apple ha implementat actualitzacions de seguretat crítiques per solucionar una vulnerabilitat zero-day d'alt risc registrada com a CVE-2025-43300. S'ha confirmat que la falla, trobada al framework ImageIO, està explotada activament i representa una greu amenaça per als usuaris d'iOS, iPadOS i macOS.

Com funciona la vulnerabilitat

La CVE-2025-43300 està classificada com una vulnerabilitat d'escriptura fora de límits. El problema sorgeix quan ImageIO processa una imatge creada maliciosament, cosa que provoca la corrupció de la memòria. Aquest tipus de defecte permet als atacants manipular la memòria del sistema de maneres no segures, cosa que els pot atorgar capacitats d'execució remota de codi o accés a dades sensibles.

Apple ha reconegut que la vulnerabilitat formava part d'atacs "extremadament sofisticats" contra individus específics, destacant el seu ús en campanyes d'explotació avançades.

Qui està en risc?

L'error afecta una àmplia gamma de dispositius Apple, inclosos els iPhones, iPads i Macs moderns. Tot i que Apple no ha revelat qui són els atacants ni les identitats dels seus objectius, l'explotació indica que darrere de la campanya hi ha actors amb amenaces ben dotats, possiblement grups patrocinats per l'estat.

Versions actualitzades disponibles

Apple ha corregit l'error CVE-2025-43300 mitjançant una comprovació de límits millorada i actualitzacions publicades en sistemes compatibles. Es recomana fermament als usuaris que actualitzin a les versions següents:

• iOS 18.6.2 i iPadOS 18.6.2: iPhone XS i posteriors, iPad Pro (13 polzades, 12,9 polzades 3a generació+, 11 polzades 1a generació+), iPad Air 3a generació+, iPad 7a generació+, iPad mini 5a generació+.
• iPadOS 17.7.10: iPad Pro de 12,9 polzades de 2a generació, iPad Pro de 10,5 polzades, iPad de 6a generació.
• macOS Ventura 13.7.8: dispositius amb Ventura.
• macOS Sonoma 14.7.8: dispositius amb Sonoma.
• macOS Sequoia 15.6.1: dispositius amb Sequoia.

Una llista creixent de zero-days explotats

El CVE-2025-43300 no és un incident aïllat. Des de principis d'any, Apple ha corregit set errors zero-day explotats:

• CVE-2025-24085
• CVE-2025-24200
• CVE-2025-24201

• CVE-2025-31200

• CVE-2025-31201

• CVE-2025-43200

• CVE-2025-43300

A més, Apple ha corregit recentment una fallada de Safari (CVE-2025-6558) vinculada a un component de codi obert, que ja havia estat utilitzat de manera abusiva com a vulnerabilitat zero-day a Google Chrome.

Per què són importants aquestes vulnerabilitats

Els exploits de dia zero es troben entre les amenaces més perilloses en ciberseguretat perquè els atacants els aprofiten abans que els pegats estiguin disponibles públicament. Quan les fallades com la CVE-2025-43300 estan relacionades amb campanyes d'espionatge dirigides, representen riscos no només per a les persones, sinó també per a les empreses, els governs i les infraestructures crítiques.

Mantenir-se protegit

Els usuaris haurien de:

• Actualitza immediatament a la darrera versió amb pegats.
• Eviteu obrir fitxers d'imatges o contingut no sol·licitat de fonts desconegudes.
• Activa les actualitzacions automàtiques per reduir les finestres d'exposició a amenaces de dia zero.

En abordar la CVE-2025-43300 amb promptitud, Apple ajuda a reduir la superfície d'atac, però l'existència de l'exploit és un recordatori que els adversaris persistents i sofisticats busquen constantment nous punts d'entrada.