هنوز روی iOS 16 هستید؟ هکرها از باگ ۲۰۲۴ سافاری روی آیفون‌های قدیمی استفاده می‌کنند

در تاریخ ۴ نوامبر ۲۰۲۶ سازمان امنیت سایبری و زیرساخت آمریکا (CISA) آسیب‌پذیری CVE-2024-27834، یک نقص در WebKit اپل، را به فهرست آسیب‌پذیری‌های به‌بهره‌برداری‌رسیده شناخته‌شده افزود. سازمان‌های فدرال آمریکا تا ۱۸ نوامبر ۲۰۲۶ فرصت دارند آن را وصله کنند. CISA محصول تحت تأثیر را «چند محصول» اپل اعلام کرده است.

این باگ مربوط به سال ۲۰۲۴ است. اپل آن را در ۱۳ مه ۲۰۲۴ در iOS 17.5 و Safari 17.5، و در iOS 16.7.8 برای آیفون‌های قدیمی‌تر ۸، ۸ پلاس و X برطرف کرد. این باگ دوباره سر خط خبرهاست، چون مهاجمان همچنان از آن علیه گوشی‌هایی استفاده می‌کنند که هرگز به‌روزرسانی را نصب نکرده‌اند. چون مهاجمان هنوز از آن علیه گوشی‌هایی استفاده می‌کنند که هرگز آن به‌روزرسانی را نصب نکرده‌اند. وصله بیش از دو سال است که وجود دارد. گوشی‌هایی که هدف قرار می‌گیرند همان‌هایی هستند که پیش از مه ۲۰۲۴ به‌روزرسانی را کنار گذاشتند.

خلاصه‌ای کوتاه پیش از جزئیات:

• اگر آیفون ۸، ۸ پلاس یا X شما روی iOS 16.7.8 یا نسخه‌های بعدتر اجرا می‌شود، این زنجیره حمله مشخص روی آن کار نمی‌کند.
• اگر روی iOS 16.7.7 یا پایین‌تر متوقف مانده، در معرض خطر هستید و باید همین امروز به‌روزرسانی کنید.
• اگر نسخه قدیمی کروم را روی اندروید اجرا می‌کنید، حمله مرتبطی نیز شامل حال شما می‌شود. کروم ۱۴۶ یا بعدتر آن را برطرف می‌کند.

CISA در ۴ نوامبر چه چیزی اضافه کرد و چرا باگ ۲۰۲۴ دوباره برگشته؟

این آسیب‌پذیری در WebKit قرار دارد، موتور مرورگری که پشت سافاری و بیشتر مرورگرهای آیفون است. این نقص به مهاجمی که از قبل دسترسی خواندن و نوشتن به حافظه دارد امکان می‌دهد از Pointer Authentication عبور کند، یک سازوکار دفاعی در آیفون. اپل این کشف را به مانفرد پاول، در همکاری با Zero Day Initiative شرکت ترند میکرو، نسبت داده است. می‌توانید یادداشت‌های اصلی اپل برای رفع این مشکل در iOS 17.5 و iOS 16.7.8 را بخوانید.

کمپینی که این ثبت سیزا پشت آن قرار دارد، در همان روز توسط Sekoia، یک شرکت امنیتی فرانسوی، در گزارشی مستند شد. در بخش‌های بعدی به این که این کمپین چه کاری انجام داده می‌پردازیم.

کدام گوشی‌ها در معرض خطرند؟

زنجیره‌های حمله‌ای که Sekoia مستند کرده، بر اساس دستگاه و نسخه نرم‌افزار تفکیک می‌شوند. زنجیره مخصوص آیفون که بر پایه CVE-2024-27834 ساخته شده، فقط روی گوشی‌هایی که در iOS 16.7.7 یا قدیمی‌تر مانده‌اند کار می‌کند، چون اپل این حفره را در iOS 16.7.8 در مه ۲۰۲۴ برطرف کرد. زنجیره دوم آیفون روی iOS 18.5 هدف می‌گیرد و زنجیره سوم روی Chrome در اندروید، به‌طور مشخص نسخه‌های ۱۳۹ تا ۱۴۵.

یک نکته درباره iPhone 8، 8 Plus و X صدق می‌کند. این گوشی‌ها به‌طور پراکنده و نه برای همه اصلاحات، پچ‌هایی روی iOS 16 دریافت می‌کنند. گوشی‌ای که کاملاً به iOS 16.7.16 به‌روز شده، زنجیره A را خنثی می‌کند، اما ممکن است همچنان حفره‌های WebKit دیگری را داشته باشد که نسخه‌های جدیدتر iOS برطرف کرده‌اند. این موضوع محدود می‌کند که این گوشی‌ها برای چه کارهایی مناسب‌اند، که در ادامه به آن می‌پردازیم.

چگونه یک بازدید از وب‌سایت به یک حمله تبدیل شد؟

این روش watering hole نام دارد. مهاجمان به جای فرستادن لینک یا پیام برای اهداف، کد را در وب‌سایت‌هایی قرار می‌دهند که احتمال بازدید اهداف از آن‌ها زیاد است. شما به سایتی می‌روید که به آن اعتماد دارید و همان سایت اکسپلویت را تحویل می‌دهد.

Sekoia مستند کرده که در این کمپین کدام سایت‌ها درگیر بودند. خبرگزاری نبودند. فهرست شامل صفحات قانونی هک‌شده بود: یک شرکت تولید گاز اوکراینی، یک انجمن صنفی صنعت شیمی آمریکا، یک حزب سیاسی چک و یک سایت مرتبط با نظام بلغارستان. دو دامنه شبیه‌ساز هم وجود داشت، یکی تقلیدی از سایت سالگرد America250 آمریکا و دیگری تقلیدی از یک هتل لوکس لندن. یک اسکریپت تحلیل وب اوکراینی هک‌شده به نام Plerdy از ۲۷ اوت تا ۳ سپتامبر ۲۰۲۶ روی هزاران وب‌سایت که عمدتاً اوکراینی بودند قرار داشت. کشورهای درگیر آمریکا، اوکراین، چک و بلغارستان بودند، به‌علاوه بریتانیا از طریق شبیه‌ساز هتل.

دو نکته برای کسی که این متن را با گوشی می‌خواند مهم‌تر است:

• نیازی به لمس نبود. سکویا می‌گوید اکسپلویت‌ها بدون تعامل کاربر تحویل می‌شدند. بارگذاری صفحه کافی بود.
• هیچ چیزی بعد از ری‌استارت روی گوشی باقی نمی‌ماند. ماندگاری وجود نداشت.

سکویا این کمپین را با اطمینان متوسط تا بالا به APT29 نسبت می‌دهد؛ گروهی که به گفته این شرکت ارتباط گسترده‌ای با سرویس اطلاعاتی خارجی روسیه دارد. جدا از نسبت‌دهی، درس عملی همان درسی است که در مقاله ۲۰۱۸ ما درباره سافاری و WebKit گفتیم: مرورگر به‌روز شده تفاوت میان یک صفحه مخرب و یک صفحه بی‌خطر است. نتیجه‌گیری خود سکویا این است که کاربری با سیستم‌عامل به‌روز از این حملات در امان است، چون همه این آسیب‌پذیری‌ها پیش از آغاز کمپین توسط سازنده رفع شده بودند.

آیا آیفون ۸ یا آیفون X پس از به‌روزرسانی امن است؟

تقریبا. زنجیره A به دو آسیب‌پذیری که با هم کار می‌کنند نیاز دارد. یکی از آن‌ها، CVE-2024-27834، طبق یادداشت‌های اپل در iOS 16.7.8 در تاریخ ۱۳ مه ۲۰۲۴ برطرف شد. بنابراین گوشی‌ای که روی iOS 16.7.8 یا جدیدتر باشد، از جمله نسخه فعلی iOS 16.7.16، این زنجیره را قطع می‌کند. حمله روی چنین گوشی‌ای کار نمی‌کند.

محدودیت در آسیب‌پذیری دیگرِ این زنجیره است، یعنی CVE-2025-43529. یادداشت‌های اپل راه‌حل آن را در iOS 18 و iOS 26 فهرست کرده، اما برای iOS 16 هیچ راه‌حلی ذکر نشده. پس یک آیفون ۸ یا X که کاملا به‌روز شده این کمپین را مسدود می‌کند، اما همچنان ممکن است آسیب‌پذیری‌های WebKit دیگری داشته باشد که در آیفون‌های جدیدتر وجود ندارند. iOS 16 گاه‌به‌گاه اصلاحیه می‌گیرد، نه همه اصلاحیه‌ها، و فاصله آن با iOS فعلی به مرور بیشتر می‌شود.

این موضوع در عمل یعنی چه:

• گوشی‌ای که روی iOS 16.7.7 یا قدیمی‌تر است در معرض زنجیره A قرار دارد. همین امروز از طریق Settings، سپس General و سپس Software Update به iOS 16.7.16 به‌روزرسانی کنید.
• گوشی‌ای که روی iOS 16.7.16 است از این کمپین در امان است، اما نباید آن را کاملا وصله‌شده تلقی کرد. آن را برای تماس، پیام و مرور وب نگه دارید و حساب‌های بانکی و کاری را به گوشی جدیدتری منتقل کنید.
• گوشی‌ای که دیگر هیچ به‌روزرسانی‌ای دریافت نمی‌کند باید کنار گذاشته شود. این گوشی به‌تدریج آسیب‌پذیری‌های وصله‌نشده مرورگر جمع می‌کند.

نسخه فعلی iOS 16، یعنی 16.7.16، طبق یادداشت‌های انتشار اپل در تاریخ ۱۱ مه ۲۰۲۶ عرضه شد.

دستگاه‌های اندروید و کروم چه؟

زنجیره سوم اندروید را هدف می‌گیرد، نه iOS. این زنجیره CVE-2026-3910، یک ایراد در کروم، را با CVE-2025-27038، یک ایراد در درایور گرافیک Qualcomm، ترکیب می‌کند. طبق گزارش Sekoia، این زنجیره کوکی‌های کروم، اطلاعات ورود ذخیره‌شده، تاریخچه مرور و تنظیمات وای‌فای را می‌دزدد.

ایراد کروم در ۱۲ مارس ۲۰۲۶ در نسخه Chrome 146 روی دسکتاپ و اندروید برطرف شد. گوگل در همان زمان گفت که یک اکسپلویت در حال استفاده در دنیای واقعی وجود دارد. یعنی همان قاعده اینجا هم صادق است: گوشی‌هایی آسیب می‌بینند که کروم ۱۳۹ تا ۱۴۵ را اجرا می‌کنند، نسخه‌هایی که پیش از مارس ۲۰۲۶ دیگر به‌روزرسانی نمی‌شوند.

در اندروید دو به‌روزرسانی جداگانه اهمیت دارند و با هم نمی‌رسند:

• مرورگر: فروشگاه Play را باز کنید، Chrome را جستجو کنید و Update را بزنید. می‌توانید نسخه نصب‌شده را در تنظیمات کروم، بخش About Chrome ببینید. نسخه ۱۴۶ یا بالاتر باید داشته باشید.
• سیستم‌عامل: ایراد درایور کوالکام از طریق به‌روزرسانی‌های سیستم اندروید برطرف می‌شود، در بخش Settings و سپس System یا Software update. کروم به‌روزشده روی سیستم اندروید بدون وصله، نیمه دوم زنجیره را همچنان با خود دارد.

اینکه وصله درایور به گوشی معینی برسد به سازنده آن و ارسال به‌روزرسانی‌های سیستم توسط او بستگی دارد. گوشی‌ای که هیچ به‌روزرسانی‌ای نمی‌گیرد باید کنار گذاشته شود، درست مثل یک آیفون قدیمی. ریسک روی گوشی‌هایی متمرکز است که صاحبانشان هرگز به‌روزرسانی‌هایی را که دریافت می‌کنند نصب نمی‌کنند، و این دقیقاً همان الگویی است که در هر سه زنجیره این کمپین دیده می‌شود. اگر کروم شما ماه‌ها روی نسخه ۱۴۵ یا پایین‌تر مانده، همین امروز به‌روزرسانی‌ها را بررسی کنید.

امروز چه کاری باید انجام دهید؟

راه‌حل‌ها به‌روزرسانی‌های معمولی‌اند و هر آسیب‌پذیری در این کمپین پیش از شروع حملات توسط سازنده وصله شده بود.

• در آیفون به تنظیمات، سپس General، سپس Software Update بروید و هرچه پیشنهاد شد نصب کنید. دارندگان iPhone 8 و 8 Plus و X باید روی iOS 16.7.16 یا جدیدتر باشند.
• در اندروید، Play Store را باز کنید، Chrome را جست‌وجو کنید و روی Update بزنید. نتیجه را در تنظیمات Chrome، بخش About Chrome بررسی کنید. نسخه ۱۴۶ یا جدیدتر لازم است.
• به‌روزرسانی‌های سیستمی اندروید را جداگانه نصب کنید، از طریق تنظیمات و سپس System یا Software update. به‌روزرسانی مرورگر به‌تنهایی کل زنجیره را نمی‌بندد.
• اگر گوشی شما دیگر هیچ به‌روزرسانی‌ای دریافت نمی‌کند، از آن برای بانکداری، حساب‌های کاری و خرید آنلاین استفاده نکنید. این حساب‌ها را به دستگاهی ببرید که وصله دریافت می‌کند.
• اگر از iPhone 8 یا 8 Plus یا X برای کارهای حساس استفاده می‌کنید، جایگزین کردن آن را در برنامه بگذارید. وصله‌های گاه‌به‌گاه با پشتیبانی کامل فرق دارد.
• Sekoia هیچ ماندگاری‌ای پیدا نکرد، پس چیزی پس از ری‌استارت روی گوشی باقی نمی‌ماند، اما کوکی‌هایی که قبلاً گرفته شده‌اند گرفته شده باقی می‌مانند؛ اگر احتمال می‌دهید گوشی بدون وصله یکی از این صفحه‌ها را بارگذاری کرده باشد، از همه نشست‌های حساب‌های مهم خود خارج شوید و دوباره وارد شوید.

هیچ‌کدام از این‌ها توصیه تازه‌ای نیست. همان روالی است که در نوشته سال ۲۰۱۴ درباره یک آسیب‌پذیری SSL اپل توضیح دادیم: بررسی برای به‌روزرسانی، نصب آن، و تکرار. مرکز امنیت موبایل ما بخش بیشتری از این اصول را در یک جا گردآوری کرده است.

آیا وی‌پی‌ان می‌تواند از شما در برابر اکسپلویت مرورگر محافظت کند؟

خیر. وی‌پی‌ان ترافیک بین دستگاه شما و سرور وی‌پی‌ان را رمزنگاری می‌کند و نشانی IP شما را از سایت‌هایی که بازدید می‌کنید پنهان می‌سازد. شما را روی وای‌فای عمومی ایمن می‌کند، که در مقاله وای‌فای عمومی ما به آن پرداخته‌ایم. اما سافاری یا کروم را وصله نمی‌کند و صفحه‌هایی را که بارگذاری می‌کنید بررسی نمی‌کند.

اکسپلویت‌های این کمپین از خود مرورگر وارد شدند. اگر یک صفحه هک‌شده اکسپلویتی را ارائه کند، آن اکسپلویت درست مانند بقیه صفحه از داخل تونل رمزنگاری‌شده می‌رسد. وی‌پی‌ان فقط جریانی از ترافیک رمزنگاری‌شده به یک سرور می‌بیند و راهی برای تشخیص صفحه مخرب از صفحه بی‌خطر ندارد. رمزنگاری از داده‌ها در حین انتقال محافظت می‌کند، نه از کدی که مرورگر شما پس از رسیدن آن اجرا می‌کند.

جایی که وی‌پی‌ان واقعا کمک می‌کند، بقیه استفاده موبایلی شماست. روی وای‌فای هتل، فرودگاه یا کافه، ترافیک شما را از دسترس هر کس دیگری در آن شبکه دور نگه می‌دارد. همان چیزی است که در مقاله وای‌فای عمومی ما توضیح داده شده است. این مسئله‌ای متفاوت از مسئله‌ای است که این کمپین از آن سوءاستفاده می‌کند.

این دو لایه کارهای متفاوتی انجام می‌دهند. به‌روزرسانی‌ها حفره‌هایی را می‌بندند که اکسپلویت‌های مرورگر به آن‌ها تکیه دارند. وی‌پی‌ان از ترافیک شما روی شبکه‌هایی که کنترلشان را ندارید محافظت می‌کند. وی‌پی‌ان یک لایه است و به‌روزرسانی‌ها لایه دیگر.