WhatsApp i Android: luka odsłaniała zdjęcia
Wystarczał odebrany wideorozmowa, by ominąć blokadę ekranu i wejść do galerii. WhatsApp już szykuje poprawkę.
Luka, która omijała blokadę ekranu
W WhatsAppie na Androidzie wykryto błąd, który w pewnych warunkach pozwalał dostać się do całej galerii zdjęć na zablokowanym telefonie. Co istotne, nie chodziło o klasyczny atak złośliwym oprogramowaniem, lecz o sekwencję działań w samym komunikatorze podczas trwającej rozmowy wideo.
Problem był na tyle poważny, że wystarczał fizyczny dostęp do urządzenia i przychodzące połączenie wideo WhatsApp, aby ominąć ekran blokady i podejrzeć fotografie zapisane na smartfonie.
Jak działał problem
W praktyce scenariusz wyglądał następująco:
- na zablokowany telefon przychodziło połączenie wideo WhatsApp,
- użytkownik mógł je odebrać bez odblokowywania urządzenia,
- w trakcie rozmowy należało otworzyć panel efektów,
- następnie przejść do zakładki z tłami,
- wybrać opcję „Create with Meta AI”,
- a potem „Edit photo”.
W tym momencie systemowy selektor multimediów miał otwierać pełną galerię urządzenia, mimo że telefon nadal pozostawał zablokowany. Oznaczało to obejście mechanizmu zabezpieczającego, który normalnie powinien wymagać PIN-u, odcisku palca albo innej formy uwierzytelnienia.
Kto był narażony
Nie była to luka uniwersalna dla każdego urządzenia z Androidem. Testy wskazały, że podatność zależała od tego, jak producent telefonu zaimplementował ekran blokady i uprawnienia systemowe.
Wśród urządzeń, na których problem udało się odtworzyć, wymieniano m.in.:
- Google Pixel 6 Pro,
- Oppo K13,
- Samsung Galaxy S24 działający na Androidzie 16,
- oraz przypadki potwierdzone także na Androidzie 17.
Z kolei na niektórych modelach, takich jak Samsung Galaxy S25 Ultra, ekran blokady zachowywał się prawidłowo. Problem nie dotyczył iPhone’ów, ponieważ w iOS połączenie WhatsApp korzysta z natywnego interfejsu CallKit, a nie z tej samej ścieżki obsługi, która prowadziła do obejścia blokady.
Dlaczego to było groźne
Choć luka nie umożliwiała ataku z dowolnego miejsca na świecie, była bardzo niebezpieczna w sytuacjach, gdy ktoś miał telefon w ręku choćby na chwilę. Wystarczał na przykład:
- pozostawiony bez nadzoru smartfon,
- urządzenie zgubione lub skradzione,
- ciekawska osoba z bliskiego otoczenia,
- ktoś, kto znał numer telefonu ofiary i mógł wykonać połączenie wideo.
Najgorsze było to, że cały proces nie wyglądał jak typowy atak. Nie trzeba było instalować malware, używać exploitów ani zostawiać po sobie oczywistych śladów. Dla ofiary mogło to wyglądać jak zwykłe połączenie w WhatsAppie.
WhatsApp zapowiedział poprawkę
Po ujawnieniu problemu pojawiła się informacja, że WhatsApp zaczął wdrażać poprawkę. Firma określiła sytuację jako rzadki przypadek związany z dostępem fizycznym do urządzenia, ale jednocześnie potwierdziła, że pracuje nad załataniem błędu.
Wcześniej badacz zgłaszający problem informował, że wysłał raport zarówno przez program zgłaszania błędów Meta, jak i przez program Google, ale początkowo nie doczekał się realnej reakcji. Dopiero nagłośnienie sprawy sprawiło, że zaczęto wdrażać fix.
Co mogą zrobić użytkownicy
Do czasu pełnej aktualizacji warto ograniczyć ryzyko, zwłaszcza na telefonach z Androidem, które mogą być podatne na ten scenariusz.
Pomocnym krokiem jest sprawdzenie uprawnień WhatsAppa i ustawienie dostępu do zdjęć oraz filmów na ograniczony, zamiast pełnego dostępu do całej galerii. Taki mechanizm zmniejsza skalę problemu, bo aplikacja widzi tylko wybrane, wcześniej zatwierdzone pliki.
Najważniejsze pozostaje jednak jedno: zainstalować aktualizację WhatsAppa, gdy tylko pojawi się w sklepie z aplikacjami.
