Apple pada hari Senin merilis pembaruan keamanan di luar band untuk mengatasi cacat keamanan di iOS dan iPado yang katanya telah dieksploitasi di alam liar.
Menugaskan pengidentifikasi CVE CVE-2025-24200kerentanan telah digambarkan sebagai masalah otorisasi yang dapat memungkinkan aktor jahat untuk menonaktifkan mode terbatas USB pada perangkat yang terkunci sebagai bagian dari serangan fisik cyber.
Ini menunjukkan bahwa penyerang memerlukan akses fisik ke perangkat untuk mengeksploitasi cacat. Diperkenalkan di iOS 11.4.1, mode terbatas USB mencegah perangkat Apple iOS dan iPados berkomunikasi dengan aksesori yang terhubung jika belum dibuka dan terhubung ke aksesori dalam satu jam terakhir.
Fitur ini dipandang sebagai upaya untuk mencegah alat forensik digital seperti Cellebrite atau Graykey, yang terutama digunakan oleh lembaga penegak hukum, dari mendapatkan entri yang tidak sah ke perangkat yang disita dan mengekstraksi data sensitif.
Sejalan dengan nasihat semacam ini, tidak ada detail lain tentang cacat keamanan saat ini tersedia. Pembuat iPhone mengatakan kerentanan itu ditangani dengan peningkatan manajemen negara.
Namun, Apple mengakui bahwa itu “menyadari laporan bahwa masalah ini mungkin telah dieksploitasi dalam serangan yang sangat canggih terhadap individu yang ditargetkan.”
Peneliti keamanan Bill Marczak dari Citizen Lab di sekolah Munk University of Toronto telah dikreditkan dengan menemukan dan melaporkan cacat.
Pembaruan tersedia untuk perangkat dan sistem operasi berikut –
- iOS 18.3.1 dan iPados 18.3.1 -iPhone XS dan kemudian, iPad Pro 13-inci, iPad Pro 12.9-inci generasi ke-3 dan kemudian, iPad Pro 11-inci generasi pertama dan kemudian, iPad Air Generasi ke-3 dan kemudian, generasi ke-7 iPad dan kemudian, dan iPad Mini Generation ke-5 Generasi ke-5 dan nanti
- Ipados 17.7.5 -iPad Pro 12.9-inci generasi ke-2, iPad Pro 10.5-inch, dan iPad Generasi ke-6
Pengembangan datang beberapa minggu setelah Cupertino menyelesaikan cacat keamanan lain, bug penggunaan-setelah-bebas dalam komponen media inti (CVE-2025-24085), yang terungkap telah dieksploitasi terhadap versi iOS sebelum iOS 17.2.
Zero-Days dalam perangkat lunak Apple terutama dipersenjatai oleh vendor pengawas komersial untuk menggunakan program canggih yang dapat mengekstraksi data dari perangkat korban.
Sementara alat-alat ini, seperti Pegasus NSO Group, dipasarkan sebagai “teknologi yang menyelamatkan nyawa” dan memerangi aktivitas kriminal yang serius sebagai cara untuk mengatasi masalah yang disebut “menjadi gelap”, mereka juga disalahgunakan untuk memata-matai anggota dari anggota Masyarakat Sipil.
NSO Group, pada bagiannya, telah menegaskan kembali bahwa Pegasus bukan alat pengawasan massal dan bahwa itu dilisensikan untuk “lembaga intelijen dan penegakan hukum yang sah, diperiksa dan lembaga penegak hukum.”
Dalam laporan transparansi untuk tahun 2024, perusahaan Israel mengatakan melayani 54 pelanggan di 31 negara, di mana 23 adalah lembaga intelijen dan 23 lainnya adalah lembaga penegak hukum.
