על המחשב? קובץ אחד קטן עלול להפיל אתכם בפח

אם אתם משתמשים בוואטסאפ במחשב האישי, כדאי שתשימו לב. פרצת אבטחה חדשה, שמספרה הטכני הוא CVE-2025-30401, משפיעה על כל הגרסאות של WhatsApp Desktop לווינדוס שיצאו לפני גרסה 2.2450.6 - והמשמעות מדאיגה: כל קובץ תמים למראה - תמונה, מסמך, או קובץ אחר - עלול להיות למעשה כלי נשק דיגיטלי. וכל מה שנדרש מהתוקף הוא שתפתחו אותו.

מאחורי הקלעים של התקיפה

הבעיה נובעת מהדרך שבה וואטסאפ מטפלת בקבצים מצורפים. כאשר נשלח קובץ, האפליקציה מציגה תצוגה מקדימה שלו לפי מה שמוגדר כ־MIME - מונח טכני שמתאר את סוג הקובץ (למשל, תמונה או מסמך). אך ברגע שהמשתמש לוחץ על הקובץ, המערכת מפעילה אותו על בסיס הסיומת שלו - שהיא, בפועל, מה שקובע מה ירוץ על המחשב.

במילים פשוטות: אפשר לשלוח קובץ זדוני עם סיומת הפעלה (למשל .exe), להסוות אותו כך שייראה כמו תמונה תמימה, וברגע שתפתחו אותו - הקוד הזדוני ירוץ על המחשב שלכם בלי שום התרעה.

בחברת מטא, שמפעילה את וואטסאפ, פרסמו הודעת אבטחה רשמית, והסבירו שהפער הזה - בין סוג הקובץ המוצג לבין מה שמופעל בפועל - מאפשר לתוקף להערים על המשתמש ולגרום לו להריץ קוד שלא התכוון להריץ.

אל תגידו "לי זה לא יקרה"

נכון, כדי שההתקפה תצליח - נדרש שהמשתמש יפתח את הקובץ בעצמו. אבל הניסיון מלמד שזו לא משימה קשה במיוחד. ברוב המקרים, די בקובץ שמגיע מחבר לעבודה, או בקבוצה שאתם רגילים לסמוך עליה, כדי לגרום לרבים ללחוץ בלי לחשוב פעמיים. גם משתמשים מנוסים נופלים בפח - וזו בדיוק הסיבה שבחולשות כאלה אין לזלזל.

מה עושים עכשיו?

הצעד הראשון - והחשוב ביותר - הוא לוודא שהאפליקציה שלכם מעודכנת. הגרסה הבטוחה ביותר נכון לעכשיו היא 2.2450.6. אפשר לבדוק את מספר הגרסה על ידי פתיחת וואטסאפ במחשב, לחיצה על גלגל השיניים בפינה התחתונה, מעבר ל"אודות" - והגרסה תופיע שם.

אם אתם משתמשים בגרסה ישנה יותר - גשו לחנות האפליקציות של ווינדוס, וחפשו עדכון. מי שמשתמש במחשב של ארגון (עבודה, מוסד לימודי, צה"ל וכו') ואינו מחזיק בהרשאות ניהול, רצוי שיפנה לתמיכה הטכנית כדי לוודא שהעדכון מתבצע באופן יזום.

לא מקרה בודד

זו לא הפעם הראשונה שוואטסאפ עומדת במוקד פרצות אבטחה חמורות. רק בשנה האחרונה דווח על תקלות שאפשרו הרצת סקריפטים מסוכנים דרך קבצי Python ו־PHP, ללא כל פעולה מצד המשתמש. במקרים אחרים, שימשה האפליקציה פלטפורמה להשתלת תוכנות ריגול של ממש - כמו בפרשת "גרפיט", שגררה עימות משפטי בין חברת מטא לחברת הסייבר הישראלית פאראגון.

גם NSO, החברה שפיתחה את רוגלת "פגסוס", הואשמה בשימוש בפרצות דומות בתוך וואטסאפ לצורך פריצה למכשירי סמארטפון של עיתונאים, פעילים ואנשי ממשל - מקרים שהובילו להתערבות משפטית של רשויות בארצות הברית.

כשזה נראה תמים - זה בדיוק הרגע לחשוד​

פרצת האבטחה הנוכחית אמנם דורשת פעולה מצד המשתמש, אך היא מדגישה שוב עד כמה קל ליפול ברשת של מתקפה מתוחכמת. העדכון האחרון של וואטסאפ סותם את הפרצה - אבל רק עבור מי שדואג לעדכן.

בעידן שבו כל קובץ עלול להסתיר מאחוריו קוד עוין, הזהירות הפכה למצווה טכנולוגית. פתחו רק מה שאתם באמת סומכים עליו - ועדכנו, תמיד. זה אולי נשמע טריוויאלי - אבל זה כל ההבדל בין מחשב בטוח לפרצה מסוכנת.