iPhone ve Mac Kullanıcıları Dikkat: Güncelleme Yapmayanlar WhatsApp’tan Habersiz Mesaj Gönderilmesi Riskiyle Karşı Karşıya

Apple ve WhatsApp'ın 2025 yılında güvenlik güncellemeleriyle giderdiği iki kritik yazılım açığı, eski sürümleri kullanmaya devam eden iPhone, iPad ve Mac sahipleri açısından siber güvenlik riskini gündemde tutuyor. CVE-2025-55177 ve CVE-2025-43300 kodlarıyla kayıt altına alınan zafiyetlerin birlikte kullanılması, saldırganların hedef cihazlarda kullanıcı etkileşimi olmadan zararlı içerik işletebilmesine imkân tanıyabiliyor.

WhatsApp'ın bağlı cihaz senkronizasyonundaki yetkilendirme eksikliği ile Apple'ın görüntü işleme altyapısındaki bellek güvenliği sorununun birleşmesi, zero-click (sıfır tıklama) olarak adlandırılan saldırı yönteminin temelini oluşturuyor.

Meta ve Apple tarafından 2025 yılında yayımlanan güvenlik açıklamaları, söz konusu açıkların belirli kişileri hedef alan gelişmiş siber saldırılarla ilişkili olabileceğini ortaya koydu. Güvenlik yamaları yayımlanmasına rağmen güncellenmemiş yazılımlar, ilgili güvenlik açıklarını barındırmaya devam edebiliyor.

WhatsApp'taki Güvenlik Açığı Kullanıcı Etkileşimi Gerektirmiyor

CVE-2025-55177 kodlu güvenlik açığı, WhatsApp'ın bağlı cihazlar arasındaki mesaj senkronizasyonunda bulunan yetkilendirme kontrolü eksikliğinden kaynaklanıyor.

WhatsApp, kullanıcıların aynı hesabı telefon, bilgisayar ve diğer desteklenen cihazlarda kullanabilmesi için bir senkronizasyon sistemi işletiyor. Ancak tespit edilen güvenlik sorunu, yetkili olmayan bir kaynaktan gelen bazı senkronizasyon işlemlerinin yeterince doğrulanmamasına neden olabiliyordu.

Bu durum, saldırganın hedef cihazda kendi belirlediği internet adresindeki içeriğin işlenmesini tetikleyebilmesine olanak sağlayabiliyordu.

Normal şartlarda zararlı yazılımların önemli bir bölümü kullanıcıların şüpheli bağlantılara tıklamasını veya dosya indirmesini gerektirirken, söz konusu zafiyet bu etkileşime duyulan ihtiyacı ortadan kaldırabilecek bir saldırı yolu oluşturuyordu.

Meta'nın güvenlik duyurusunda, CVE-2025-55177 açığının Apple sistemlerindeki CVE-2025-43300 zafiyetiyle birlikte belirli kişileri hedef alan gelişmiş saldırılarda kullanılmış olabileceği bildirildi.

Apple'ın Görüntü İşleme Sistemindeki Açık Saldırının İkinci Aşamasını Oluşturuyor

Saldırı zincirinin diğer bileşeni olan CVE-2025-43300, Apple'ın ImageIO adlı görüntü işleme altyapısında tespit edildi.

ImageIO, iPhone, iPad ve Mac cihazlarda dijital görüntülerin okunması, çözümlenmesi ve işlenmesinde kullanılan sistem bileşenleri arasında bulunuyor.

Apple'ın 20 Ağustos 2025 tarihinde yayımladığı güvenlik açıklamasında, özel olarak hazırlanmış kötü amaçlı bir görüntünün işlenmesinin bellek bozulmasına neden olabileceği belirtildi.

Şirket, güvenlik sorununu teknik olarak out-of-bounds write (bellek sınırları dışına yazma) şeklinde tanımladı.

Bu hata, bir yazılımın kendisine ayrılan bellek alanının dışına veri yazması sonucunda ortaya çıkıyor. Başarılı şekilde istismar edilmesi durumunda uygulamanın çökmesine, verilerin bozulmasına veya uygun koşullarda saldırganın kontrol ettiği kodun çalıştırılmasına zemin hazırlayabiliyor.

Apple, güvenlik duyurusunda "Bu sorunun belirli kişileri hedef alan son derece gelişmiş bir saldırıda kullanılmış olabileceğine ilişkin bir rapordan haberdarız." açıklamasına yer verdi.

Şirket, bellek sınırı kontrollerinin iyileştirilmesiyle güvenlik açığının giderildiğini bildirdi.

Zararlı DNG Görüntü Dosyaları Nasıl Tehlike Oluşturabiliyor?

Güvenlik açığıyla ilgili teknik araştırmalarda DNG (Digital Negative) görüntü dosyaları dikkat çeken unsurlar arasında yer alıyor.

DNG, dijital fotoğraf makineleri ve profesyonel görüntüleme sistemlerinde kullanılan RAW görüntü biçimlerinden biri olarak biliniyor. Bu dosyalar yalnızca görüntü verilerini değil, görüntünün nasıl işleneceğini belirleyen çeşitli üst verileri de içeriyor.

DNG dosyalarında TIFF tabanlı veri yapıları ile kayıpsız JPEG sıkıştırma akışları birlikte bulunabiliyor.

Teknik incelemelerde, TIFF yapısındaki SamplesPerPixel değeri ile JPEG Lossless akışındaki SOF3 bileşen sayısı arasındaki tutarsızlıkların görüntü çözücü yazılımlarda bellek güvenliği sorunlarına yol açabileceği değerlendiriliyor.

SamplesPerPixel, görüntüdeki bir pikselin kaç örnek içerdiğini tanımlarken SOF3 bileşen sayısı sıkıştırılmış JPEG akışının bileşen yapısını gösteriyor.

Bu değerlerin birbiriyle uyuşmaması tek başına güvenlik açığının istismar edildiği anlamına gelmiyor. Ancak görüntü işleme yazılımının farklı değerleri hatalı şekilde kullanması, ayrılan bellek alanının dışına veri yazılmasıyla sonuçlanabiliyor.

CVE-2025-43300 üzerine yapılan teknik araştırmalar, DNG dosyalarının işlenmesindeki bellek güvenliği sorunlarını inceliyor. Bununla birlikte Apple ve Meta'nın resmi açıklamaları, gerçek saldırılarda kullanılan görüntü dosyalarının bütün teknik özelliklerini kamuoyuyla paylaşmış değil.

Sıfır Tıklama Saldırısı Nasıl Gerçekleşiyor?

Zero-click saldırılarının en önemli özelliği, hedef kullanıcının herhangi bir bağlantıya tıklamasına, dosya açmasına veya uygulama yüklemesine ihtiyaç duyulmaması.

WhatsApp ve Apple güvenlik açıklarının birlikte kullanılabildiği saldırı zincirinde, saldırgan öncelikle WhatsApp'ın bağlı cihaz senkronizasyonundaki yetkilendirme eksikliğinden yararlanabiliyor.

Bu aşamada hedef cihazın saldırgan tarafından belirlenen internet adresindeki içeriği işlemesi tetiklenebiliyor.

İçeriğin Apple'ın savunmasız görüntü işleme bileşenine ulaşması durumunda ise özel hazırlanmış görüntü dosyası bellek bozulmasına neden olabiliyor.

Bellek bozulmasının başka istismar teknikleriyle birleştirilmesi, saldırganın cihaz üzerinde yetkisiz işlemler gerçekleştirmesine zemin hazırlayabiliyor.

Ancak bellek bozulmasının meydana gelmesi, cihazın otomatik olarak tamamen ele geçirildiği anlamına gelmiyor. İşletim sisteminin güvenlik mekanizmalarının aşılması, yetkisiz kod çalıştırılması veya kalıcı casus yazılım yüklenmesi için ek istismar aşamaları gerekebiliyor.

Bu nedenle söz konusu iki zafiyet, birbirini tamamlayan ancak teknik etkileri farklı olan güvenlik sorunları olarak değerlendiriliyor.

Hangi WhatsApp Sürümleri Güvenlik Açığından Etkileniyor?

Meta'nın CVE-2025-55177 güvenlik duyurusuna göre açık, WhatsApp'ın iOS ve macOS platformlarındaki belirli eski sürümlerini etkiliyor.

ABD Ulusal Güvenlik Açığı Veritabanı (NVD) kayıtlarında, etkilenen sürüm aralıkları 2.22.25.2 sürümünden başlayarak tanımlanıyor.

Bu nedenle tabloda belirtilen düzeltme sürümlerinden eski olan bütün WhatsApp sürümlerinin aynı şekilde etkilendiği kesin olarak söylenemiyor.

Android WhatsApp sürümleri ise CVE-2025-55177 için yayımlanan resmi etkilenen ürünler listesinde yer almıyor.

Hangi iPhone, iPad ve Mac İşletim Sistemi Sürümleri Risk Altında?

Apple'ın CVE-2025-43300 için yayımladığı güvenlik güncellemeleri, farklı işletim sistemi sürümlerini kapsıyor.

Bu sürümler, ilgili işletim sistemi dallarında CVE-2025-43300 için yayımlanan ilk güvenlik düzeltmelerini gösteriyor.

Örneğin iOS 15.8.5 sürümü, iOS 18.6.2'den daha eski bir işletim sistemi dalına ait olmasına rağmen ilgili güvenlik düzeltmesini içeriyor.

Dolayısıyla güvenlik değerlendirmesinde yalnızca işletim sistemi sürüm numarasının büyüklüğüne değil, cihazın kullandığı sürüm dalı için gerekli güvenlik yamasının yüklenip yüklenmediğine bakılması gerekiyor.

iPhone 6s, iPhone 7, iPhone 8 ve iPhone X gibi eski nesil cihazlarda kullanılan işletim sistemi sürümleri de bu açıdan önem taşıyor. Apple, söz konusu güvenlik açığı için bazı eski cihazların desteklenen işletim sistemi dallarına da düzeltmeler yayımladı.

Güvenlik Açıkları Kapatıldığı Hâlde Kullanıcılar Neden Hâlâ Risk Altında?

Apple ve Meta, 2025 yılında ilgili güvenlik açıklarını gidermiş olsa da güncellemelerin yayımlanması bütün cihazların otomatik olarak korunduğu anlamına gelmiyor.

2026 yılı itibarıyla temel risk, güvenlik yamalarını içermeyen eski yazılım sürümlerinin kullanılmaya devam edilmesinden kaynaklanıyor.

Güncellemelerin Yüklenmemesi

Bazı kullanıcılar otomatik güncellemeleri devre dışı bırakabiliyor veya depolama alanı yetersizliği nedeniyle yeni sürümlere geçemiyor.

Bu cihazlarda güvenlik açığını barındıran yazılım bileşenleri çalışmaya devam edebiliyor.

Yalnızca WhatsApp'ın Güncellenmesi

WhatsApp'ın güncellenmesi, uygulamadaki CVE-2025-55177 açığını kapatabiliyor. Ancak işletim sistemi güncellenmemişse Apple'ın ImageIO bileşenindeki CVE-2025-43300 zafiyeti devam edebiliyor.

Bunun tersi durumda, işletim sistemi güncel olsa bile eski WhatsApp sürümündeki yetkilendirme problemi varlığını sürdürebiliyor.

İki açığın birlikte kullanıldığı bilinen saldırı zincirinin kesilmesi için ilgili bileşenlerden birinin düzeltilmesi önemli bir koruma sağlasa da her iki yazılımın da güncellenmesi gerekiyor.

Geçmişte Gerçekleşen Saldırılar

Güvenlik güncellemeleri, bilinen açıkların yeniden kullanılmasını engellemeyi amaçlıyor. Ancak daha önce ele geçirilmiş bir cihazda yetkisiz erişimin veya zararlı yazılımın otomatik olarak ortadan kaldırıldığını garanti etmiyor.

Bu nedenle geçmişte hedef alınmış olabileceğinden şüphelenilen cihazlarda ayrıca güvenlik incelemesi yapılması gerekebiliyor.

Güncelleme Desteğinin Sona Ermesi

Üretici desteği sona eren cihazlarda yeni güvenlik açıklarına yönelik düzeltmeler sağlanamayabiliyor.

Ancak eski bir cihazın otomatik olarak CVE-2025-55177 veya CVE-2025-43300 zafiyetlerinden etkilendiği söylenemiyor. Cihazın ilgili güvenlik yamasını alıp almadığı belirleyici oluyor.

WhatsApp Saldırıları Gerçek Kullanıcıları Hedef Aldı

29 Ağustos 2025 tarihinde Reuters ve Associated Press tarafından yayımlanan haberlerde, WhatsApp'ın gelişmiş bir siber casusluk kampanyası kapsamında dünya genelinde 200'den az kullanıcıyı bilgilendirdiği aktarıldı.

Uluslararası Af Örgütü bünyesindeki Amnesty International Security Lab araştırmacısı Donncha Ó Cearbhaill, saldırı kampanyasının yaklaşık 90 günlük bir döneme yayılmış olabileceğine ilişkin değerlendirmelerde bulundu.

Söz konusu saldırıların belirli kişileri hedef alması, olayın geniş çaplı ve rastgele gönderilen dolandırıcılık mesajlarından farklı bir yapıya sahip olduğunu gösterdi.

Bununla birlikte saldırıların arkasındaki kişi veya kuruluş ile kullanılan casus yazılımın bütün teknik ayrıntıları kamuya açık bilgilerle kesin olarak belirlenemedi.

Bu nedenle 2025 yılında tespit edilen hedefli saldırılar, bütün iPhone veya Mac kullanıcılarının aynı yöntemle saldırıya uğradığı anlamına gelmiyor.

WhatsApp'tan Habersiz Mesaj Gönderilmesi Aynı Zafiyetin Belirtisi mi?

WhatsApp hesaplarından kullanıcıların bilgisi dışında mesaj gönderilmesi, hesap veya cihaz güvenliği açısından incelenmesi gereken durumlar arasında bulunuyor.

Ancak böyle bir olayın yaşanması, doğrudan CVE-2025-55177 veya CVE-2025-43300 güvenlik açıklarının kullanıldığını kanıtlamıyor.

WhatsApp hesabına bağlanmış yetkisiz bir bilgisayar, ele geçirilmiş hesap oturumu, zararlı mobil uygulamalar veya üçüncü taraf mesajlaşma entegrasyonlarının kötüye kullanılması da habersiz mesaj gönderilmesine neden olabiliyor.

CVE-2025-55177, yetkisiz içerik işleme sürecine ilişkin bir güvenlik problemi oluştururken CVE-2025-43300, görüntü işleme sırasında ortaya çıkabilen bellek güvenliği ihlaliyle ilişkili bulunuyor.

Bu nedenle habersiz mesaj gönderilmesiyle karşılaşılan durumlarda bağlı cihazların, uygulama sürümlerinin, hesap oturumlarının ve mümkünse cihaz güvenlik kayıtlarının birlikte değerlendirilmesi gerekiyor.

iPhone ve Mac Kullanıcıları Hangi Önlemleri Almalı?

Güvenlik açıklarına karşı korunmada en önemli adım, WhatsApp ve Apple işletim sistemlerinin desteklenen en güncel güvenlik sürümlerine yükseltilmesi olarak öne çıkıyor.

iPhone ve iPad kullanıcıları, Ayarlar menüsündeki Genel ve Yazılım Güncelleme bölümünden mevcut güncellemeleri kontrol edebiliyor.

Mac kullanıcıları da Sistem Ayarları üzerinden Yazılım Güncelleme bölümüne ulaşabiliyor.

WhatsApp uygulamasının ise App Store üzerinden güncellenmesi gerekiyor.

Bunun yanında WhatsApp'ın Bağlı Cihazlar bölümündeki oturumların kontrol edilmesi, tanınmayan cihazların bağlantısının kesilmesi ve hesap için iki adımlı doğrulamanın etkinleştirilmesi öneriliyor.

Ancak iki adımlı doğrulama, hesap güvenliğini güçlendirse de Apple'ın ImageIO bileşenindeki bellek güvenliği açığını doğrudan kapatmıyor.

Özellikle gazeteciler, kamu görevlileri, insan hakları savunucuları, kurum yöneticileri ve hassas verilerle çalışan kullanıcılar açısından hedefli siber saldırı ihtimalinin ayrıca değerlendirilmesi önem taşıyor.

Gelişmiş bir casus yazılım saldırısına maruz kaldığından şüphelenen kullanıcıların, cihazı sıfırlamadan önce uzman desteğiyle dijital delillerin korunmasını değerlendirmesi gerekiyor.

Güncelleme Yapılmayan Cihazlarda Güvenlik Riski Devam Ediyor

WhatsApp ve Apple sistemlerinde tespit edilen iki güvenlik açığı, modern siber saldırıların tek bir uygulamadaki hatadan daha karmaşık yapılara dayanabildiğini ortaya koyuyor.

Bir mesajlaşma uygulamasındaki yetkilendirme eksikliğinin işletim sistemindeki görüntü işleme sorunuyla birleşmesi, kullanıcı herhangi bir işlem gerçekleştirmeden güvenlik açığının tetiklenebildiği saldırı zincirlerine zemin hazırlayabiliyor.

Apple ve Meta'nın yayımladığı düzeltmeler, söz konusu güvenlik açıklarına karşı koruma sağlıyor. Ancak eski sürümleri kullanmaya devam eden cihazlarda ilgili zafiyetlerin bulunması mümkün.

Bu nedenle iPhone, iPad ve Mac kullanıcılarının yalnızca WhatsApp'ı değil, işletim sistemlerini de güncel tutması önem taşıyor.

Güvenlik güncellemelerinin yüklenmesi, bilinen saldırı yöntemlerine karşı korumayı güçlendirirken geçmişte yaşanmış olası güvenlik ihlallerinin ayrıca incelenmesi gerekliliğini ortadan kaldırmıyor.