Pozor, WhatsApp skrývá past. Neklikejte na tuto přílohu, nebo bude zle

Maskovaný útok

Soubor v chatu vypadal jako obyčejný dokument. Ikonka seděla, název působil nevinně a nic nenasvědčovalo tomu, že se pod povrchem skrývá něco jiného. Právě na tomhle rozdílu mezi tím, co člověk vidí, a tím, co se skutečně stane, stavěla první ze dvou chyb.

Bezpečnostní analýzy odhalily dvě trhliny v aplikaci od společnosti Meta Platforms. První nese označení CVE-2026-23863 a v databázi NIST NVD získala hodnocení 6,5, tedy střední závažnost podle stupnice CVSS v3.1.

Týkala se WhatsAppu pro Windows ve verzích starších než 2.3000.1032164386.258709. Podstatou bylo maskování typu souboru v doručené příloze, takže útočníci dokázali obejít vizuální kontrolu přímo v chatovacím okně.

Mechanismus stál na vložení řídicího bajtu NUL (0x00) do názvu souboru. Chat ukázal jen text před ním. Windows ale po kliknutí spustil soubor podle skutečné přípony na samém konci názvu.

Jak manipulace fungovala v praxi

Modelový scénář je přímočarý. Útočník pošle soubor s názvem Faktura_2026.pdfmalware.exe. V chatu se zobrazí pouze Faktura_2026.pdf s ikonou běžného PDF.

Uživatel čeká fakturu, a tak klikne. Systém ale ignoruje oříznutí názvu v aplikaci, přečte celý řetězec a na pozadí spustí program malware.exe.

Záludnost situace trefně shrnul jeden z uživatelů: „Je šílené, že i v roce 2026 musíme řešit triky s NUL bajtem v názvu souboru, které známe už dvacet let. Běžný uživatel nemá šanci poznat, že mu WhatsApp ukazuje PDF, ale Windows pod tím spustí exe soubor.“

Problém s náhledy videí v mobilech

Druhá chyba, CVE-2026-23866, dosáhla na stupnici CVSS v3.1 hodnoty 4,3. Zasáhla WhatsApp pro Android (verze 2.25.8.0 až 2.26.7.10) a WhatsApp pro iOS (verze 2.25.8.0 až 2.26.15.72).

Aplikace nedostatečně ověřovala adresy u AI rich response při tvorbě náhledů pro Instagram Reels. Do adresy multimediálního obsahu šlo podstrčit vlastní HTTP nebo HTTPS odkaz, případně aplikační odkaz (custom URL scheme).

Uživatele tak bylo možné nepozorovaně přesměrovat na externí server nebo vyvolat akci v jiné aplikaci v telefonu. Bezpečnostní analytik Eduard Kovacs z redakce SecurityWeek k tomu uvádí: „Využití zranitelností s custom URL scheme v reálných scénářích umožňuje útočníkům přesměrovat uživatele na phishingové stránky nebo spouštět další aplikace na zařízení pomocí hlubokých odkazů (deep links). I když jde o chyby se střední závažností, aktualizace je nutností.“

Jak velká byla hrozba doopravdy?

Přestože popisy zní varovně, bulletiny Meta i databáze NIST NVD uvádějí, že nebyly zaznamenány žádné potvrzené případy zneužití v reálných útocích. Obě chyby byly nahlášeny v rámci programu Meta Bug Bounty.

Obavy z automatického napadení na dálku jsou navíc zbytečné. Obě zranitelnosti vyžadovaly aktivní krok oběti, tedy kliknutí na náhled videa nebo ruční otevření přílohy. Aktualizace aplikace na nejnovější verzi obě mezery spolehlivě uzavírá.