Ang isang kamakailan-lamang na isiniwalat na kahinaan sa WhatsApp para sa Windows ay nagbibigay-daan sa mga umaatake na magkaila ng mga maipapatupad na file na tila hindi nakakapinsala, na nag-trick sa mga gumagamit sa paglulunsad ng nakakahamak na code. Ang kapintasan, na kinilala bilang cve-2025-30401 ay naka-patch sa bersyon 2.2450.6 ng app. Habang ang pahina ng NVD ay kasalukuyang walang detalyadong impormasyon, ang Meta at Independent Researcher ay nagbigay ng isang mas malinaw na pagtingin sa banta. Ang mga umaatake ay maaaring mag-spoof ng uri ng isang file-na ito ay isang mapanganib na maipapatupad bilang isang benign na dokumento o imahe-ang mga gumagamit ng paglalahad upang ilunsad ang malware nang hindi ito napagtanto. Bagaman hindi isang kahinaan sa zero-click, ang kapintasan ay nangangailangan ng kaunting pakikipag-ugnay, ginagawa itong isang mahalagang tool para sa mga kampanya sa engineering sa lipunan. href=”https://www.whatsapp.com/security/advisories/2025″target=”_ blangko”> CVE-2025-30401 ay isang spoofing kahinaan . Pinapayagan nito ang mga nakakahamak na file na lumitaw na ligtas sa loob ng UI ng WhatsApp. Maaaring baguhin ng mga umaatake ang mga extension ng file upang magkaila ng mga executive bilang mga hindi nagbabantang format tulad ng JPEG o PDF file. Ang mga gumagamit, na inaasahan ang isang larawan o dokumento, ay maaaring hindi sinasadya na ilunsad ang nakakahamak na software. Hinihikayat ang mga gumagamit na i-verify ang kanilang bersyon ng pag-install at isang zero-click vulnerability ay natagpuan upang mag-deploy ng graphite spyware ng Paragon sa pamamagitan ng WhatsApp sa mga aparato ng android . Naapektuhan ng kampanya ang humigit-kumulang na 90 mga gumagamit sa higit sa dalawang dosenang mga bansa at naka-target na mga mamamahayag at mga miyembro ng lipunan ng sibil. Target=”_ Blank”> Luca Casarini , isang coordinator ng rescue sa dagat ng Italya. Si Casarini ay binigyan ng kaalaman ni Meta na ang kanyang aparato ay nakompromiso. Una nang tinanggihan ng gobyerno ng Italya ang paglahok ngunit kalaunan ay kinilala na hindi bababa sa pitong mga numero ng domestic phone ang naapektuhan. target=”_ blangko”> Pag-uulat ng Reuters Nai-link ang kampanya ng pag-atake sa Israeli spyware firm Paragon Solutions. Ang kaso ay sumunod sa isang katulad na pagpapasya sa huling bahagi ng 2024, nang matagpuan ng isang hukom ng Estados Unidos ang NSO Group na mananagot para sa pag-hack ng whatsapp sa isang walang kaugnayan na demanda sa pegasus spyware. Ang mga format ng media tulad ng mga imahe, dokumento, at mga audio clip ay nangangailangan ng kumplikadong pag-parse sa pamamagitan ng mga codec tulad ng webp o libvpx. These dependencies have a history of vulnerabilities—most notably, a critical bug in Google’s libwebp discovered in 2023 that impacted browsers, productivity tools, and messaging apps Pareho. Ang mga pag-atake ng spoofing ay partikular na mapanganib sa mga app tulad ng WhatsApp, kung saan ang mga awtomatikong preview at pinasimple na file na pangalan ay nag-alis ng mga tipikal na palatandaan ng babala. Magagamit ang CVE-2025-30401, maraming mga sistema-lalo na sa mga setting ng negosyo at gobyerno-ay hindi maaaring makatanggap kaagad. Ang mga samahan na namamahala sa pag-deploy ng software ay madalas na naghihigpit sa mga pag-update ng Microsoft Store, nangangahulugang ang ilang mga aparato ay maaaring manatiling mahina laban sa mga linggo o mas mahaba. Kung walang pagsasanay o mga paghihigpit ng gumagamit sa mga uri ng file, kahit na ang maingat na mga empleyado ay maaaring mabiktima sa mga spoofed attachment. Inirerekomenda ng mga propesyonal sa seguridad na hindi pinapagana ang mga tampok na auto-preview, paghihigpit sa mga maipapatupad na uri ng file, at kung saan posible, ibukod ang whatsapp sa isang virtualized o sandboxed na kapaligiran. Ang mga pagsasamantala sa spoofing, tulad ng CVE-2025-30401, i-highlight kung paano ang isang bagay na kasing simple ng nakaliligaw na metadata ay maaaring makaligtaan ang mga panlaban ng gumagamit. Ang isang maling maipapatupad na disguised bilang isang imahe ay maaaring mag-sidestep ng mga gumagamit ng mental na mga watawat ng mga gumagamit ay maaaring mag-aplay kapag ang pagbubukas ng hindi kilalang mga file. Habang ang tiyak na kapintasan na ito ay hindi nakatali sa mga naturang kampanya, ang mga mekanika-pagtanggi, minimal na pakikipag-ugnay, at nakataas na mga pribilehiyo-ang mga pattern ng pag-uulat na sinusunod sa mas malubhang paglabag. Gayunpaman, ang pinagbabatayan na pag-aalala ay nananatili: nang walang mga pagbabago sa kung paano ang mga pagmemensahe ng mga app ay nagpapakita ng mga file at alerto ang mga gumagamit sa mga panganib, ang mga kahinaan sa spoofing ay magpapatuloy na mag-alok ng mga umaatake ng isang maaasahang vector.
Sa ngayon, ang pinakamahusay na pagtatanggol ay kamalayan. Dapat i-verify ng mga gumagamit at administrador na ang kanilang mga system ay nagpapatakbo ng bersyon ng whatsapp 2.2450.6 o mas bago at manatiling maingat sa anumang mga kalakip-hindi mahalaga kung gaano inosente ang mga ito.