Google публично раскрыла уязвимость в WhatsApp — разработчики не уложились в срок с патчем

Команда Google Project Zero публично раскрыла уязвимость в Android-версии WhatsApp после того, как разработчики мессенджера не уложились в стандартный 90-дневный срок на выпуск исправления.

Речь идет о баге, который позволяет атаковать пользователя без его участия — достаточно добавить его в специально подготовленный групповой чат.

Уязвимость затрагивает механизм автоматической загрузки медиафайлов в WhatsApp-группах. В худшем сценарии злоумышленнику не нужно отправлять ссылки или заставлять жертву что-то открывать: вредоносный файл загружается на устройство сам.

Как работает атака

По описанию исследователя Project Zero Брендона Тишки, атака начинается с создания группы WhatsApp.

В нее добавляют жертву и одного из ее контактов, после чего контакт назначают администратором. Затем в чат отправляется специально сформированный медиафайл.

Если у пользователя включена автозагрузка медиа, файл автоматически сохраняется в системную базу MediaStore. Дальше все зависит от содержимого файла: при наличии дополнительного эксплойта он может попытаться выйти за пределы песочницы и выполнить произвольный код.

Ключевая особенность уязвимости — отсутствие взаимодействия с пользователем. Жертве не нужно нажимать на вложение или даже открывать чат.

Почему Google раскрыла баг публично

Project Zero уведомила владельца мессенджера о проблеме 1 сентября 2025 года. По правилам программы, у компании было 90 дней на выпуск исправления. К 30 ноября полноценного патча не появилось, и Google опубликовала детали уязвимости.

Позже компания внедрила частичное серверное ограничение, которое снижает риск эксплуатации, но не устраняет саму проблему. Полноценного клиентского патча на момент публикации все еще нет.

Именно из-за этого Google решила не продлевать дедлайн и раскрыть информацию публично.

Кто под угрозой и что делать пользователям

Уязвимость касается только WhatsApp на Android. О версиях для iOS и других платформ Project Zero не сообщает.

Чтобы снизить риск, Google рекомендует:

• включить расширенную приватность чатов в группах;
• отключить автоматическую загрузку медиафайлов;
• внимательнее относиться к неожиданным добавлениям в групповые чаты.

При этом исследователи отмечают, что в некоторых сценариях пользователь может быть добавлен в группу и атакован еще до изменения настроек.