Банк данных угроз безопасности информации (BDU) опубликовал информацию о критической уязвимости, затрагивающей ключевые компоненты для отображения веб-контента. Проблема, получившая идентификаторы BDU:2026-03006 и CVE-2025-43343, связана с ошибкой типа "выход за границы буфера" (CWE-119) в движках WebKit. Данная уязвимость представляет серьезную угрозу, поскольку позволяет удаленному злоумышленнику получить полный контроль над уязвимой системой.
Детали уязвимости
Суть проблемы заключается в ошибке обработки данных в памяти компонентов WPE WebKit и WebKitGTK. Эти движки являются основой для отображения интернет-страниц во множестве приложений и операционных систем. В результате, посещение специально созданной вредоносной веб-страницы может привести к утечке конфиденциальных данных, их повреждению или полному отказу в обслуживании системы. Оценка по методологии CVSS 3.1 достигает критических 9.8 баллов из 10, что подчеркивает высокую степень опасности.
Сфера воздействия уязвимости исключительно широка. В перечень уязвимого программного обеспечения входят практически все современные операционные системы и устройства Apple. В частности, под угрозой находятся iOS и iPadOS версий до 26.0, macOS до 26.0, а также tvOS, watchOS и visionOS. Кроме того, уязвимость затрагивает браузер Safari на этих платформах. Важно отметить, что проблема вышла за рамки экосистемы Apple. Российская операционная система Astra Linux Special Edition 1.8 также содержит подверженную угрозе версию компонента webkit2gtk.
Производители уже отреагировали на угрозу и выпустили необходимые обновления безопасности. Сообщество разработчиков WebKit опубликовало исправления для WPE WebKit и WebKitGTK, начиная с версий 2.50.1. Компания Apple выпустила патчи для всех своих платформ, подробности которых доступны в бюллетенях безопасности на официальном сайте. Разработчик Astra Linux рекомендует пользователям обновить пакет "webkit2gtk" до версии 2.50.4-1~deb12u1 или новее, следуя инструкциям в специальном бюллетене.
В настоящее время нет подтвержденных данных об активных атаках с использованием этой уязвимости. Однако критический уровень угрозы и относительная простота эксплуатации через манипулирование структурами данных делают ее привлекательной целью для киберпреступников. Специалисты по безопасности настоятельно рекомендуют немедленно установить все доступные обновления. Для пользователей Apple это можно сделать через стандартные настройки системы. Администраторам инфраструктуры на базе Astra Linux следует проверить и обновить соответствующие пакеты.
Обнаружение подобных уязвимостей в фундаментальных компонентах, таких как WebKit, служит важным напоминанием о комплексном характере современной кибербезопасности. Безопасность всей системы часто зависит от своевременного обновления, казалось бы, фоновых библиотек. Следовательно, регулярное применение патчей остается самым эффективным способом защиты от подобных критических угроз. Эксперты продолжают мониторинг ситуации на предмет появления эксплойтов и рекомендуют организациям провести инвентаризацию всех систем, использующих уязвимые версии WebKit.
Ссылки
- https://bdu.fstec.ru/vul/2026-03006
- https://www.cve.org/CVERecord?id=CVE-2025-43343
- https://github.com/WebKit/WebKit/commit/899a38cf9a50a555c1fb3fd5e3ae21271447ecc8
- https://nvd.nist.gov/vuln/detail/CVE-2025-43343
- https://security-tracker.debian.org/tracker/CVE-2025-43343
- https://webkitgtk.org/security/WSA-2025-0007.html
- https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18
- https://wpewebkit.org/security/WSA-2025-0007.html
- https://support.apple.com/en-us/125108
- https://support.apple.com/en-us/125113
- https://support.apple.com/en-us/125114
- https://support.apple.com/en-us/125115
- https://support.apple.com/en-us/125116
