Das Computer Emergency Readiness Team von Sri Lanka (Sri Lanka CERT) hat vor einem Zero-Click-Angriff auf WhatsApp gewarnt, der gezielt iPhone-Nutzer betrifft. Die Behörde teilte mit, dass Angreifer keine Interaktion der Opfer benötigen, um Geräte zu kompromittieren.
Betroffen sind demnach iOS-Versionen unterhalb von 16.7.12 sowie WhatsApp Messenger bis Version 2.25.21.73 und WhatsApp Business beziehungsweise die Mac-Version bis Version 2.25.21.78.
Zwei Schwachstellen im Zusammenspiel
Nach Angaben von Sri Lanka CERT nutzt der Angriff die Sicherheitslücken CVE-2025-55177 und CVE-2025-43300 aus. Durch das Zusammenspiel beider Schwachstellen können Angreifer offenbar ohne jegliches Zutun der Nutzer auf betroffene Geräte zugreifen – ein besonders gefährliches Angriffsmuster, da klassische Warnsignale wie verdächtige Links oder Anhänge fehlen, auf die Nutzer sonst achten könnten.
Empfohlene Schutzmaßnahmen
Die Behörde riet allen Nutzern der betroffenen Versionen dringend zu einem Update auf die jeweils aktuelle Softwareversion. Darüber hinaus empfahl Sri Lanka CERT die Aktivierung der Zwei-Faktor-Authentifizierung sowie das Deaktivieren des automatischen Downloads von Mediendateien in WhatsApp, um die Angriffsfläche zusätzlich zu verringern. Betroffene oder Personen mit weiteren Fragen können sich laut der Warnung an eine eingerichtete Hotline unter der Nummer 101 wenden.
Wer Online-Dienste wie WhatsApp oder Banking nutzt, sollte seine Konten über einfache Passwörter hinaus absichern. Dieser kostenlose Ratgeber zeigt, wie Sie mit der neuen Passkey-Technologie Phishing und Datenklau effektiv verhindern können. Sicher und passwortlos: Jetzt Gratis-Report sichern
Einordnung in ein angespanntes Sicherheitsumfeld
Die Warnung aus Sri Lanka reiht sich in eine Phase erhöhter Aufmerksamkeit für die Sicherheit von WhatsApp ein. Parallel dazu haben Behörden in mehreren Ländern zuletzt vor unterschiedlichen Bedrohungsszenarien rund um den Messenger gewarnt: Die Polizei wies auf Phishing-Kampagnen über gefälschte WhatsApp-Umfragen hin, bei denen Kriminelle über manipulierte Links Telefonnummern und Verifizierungscodes abgreifen, um Konten zu übernehmen.
In Indien warnte das I4C zudem vor sogenannten „Boss Scams“, bei denen Kriminelle per Malware Zugriff auf WhatsApp- oder E-Mail-Konten von Führungskräften erlangen und sich als diese ausgeben, um dringende Überweisungen zu veranlassen.
Die zunehmende Professionalität von Cyberangriffen stellt gerade kleine und mittelständische Unternehmen vor große Herausforderungen. Ein aktuelles Gratis-E-Book liefert fundierte Informationen zu neuen Bedrohungen und zeigt, wie Sie Sicherheitslücken proaktiv schließen. Kostenloses E-Book zum Schutz vor Cyberangriffen herunterladen
Meta reagiert auf die wachsende Zahl an Betrugsmaschen mit technischen Gegenmaßnahmen. Der Konzern testet derzeit in einer limitierten Beta-Phase eine Funktion namens „Scam Alert“, die mittels eines geräteinternen maschinellen Lernmodells verdächtige Nachrichten erkennen soll, ohne dass Inhalte an Server übertragen werden.
Die Funktion soll ausschließlich Nachrichten von Nicht-Kontakten analysieren; Nutzer können erkannte Absender blockieren, melden oder als vertrauenswürdig markieren. Sie reiht sich laut Angaben in eine breitere Sicherheitsinitiative des Unternehmens ein, zu der bereits eingeführte „Strict Account Settings“ sowie eine Warnfunktion bei der Verknpfung neuer Geräte gehören. Einen globalen Starttermin für „Scam Alert“ nannte das Unternehmen bislang nicht.
Für Nutzer betroffener iPhone-Versionen bleibt angesichts der aktuellen Zero-Click-Bedrohung das zeitnahe Einspielen verfügbarer Updates die wirksamste unmittelbare Schutzmaßnahme, da eine Interaktion mit schädlichen Inhalten für eine Kompromittierung nach aktuellem Kenntnisstand nicht erforderlich ist.
