Google Tarafından Deşifre Edilen Kritik WhatsApp Güvenlik Açığı Kullanıcıları Tehdit Ediyor
Dünyanın en yaygın mesajlaşma platformlarından WhatsApp, Android tarafında tespit edilen ciddi bir güvenlik açığı nedeniyle yeniden gündeme geldi. Google bünyesinde faaliyet gösteren Project Zero ekibi, Meta’nın belirlenen süre içinde tam çözüm sunmaması sonrası açığı kamuoyuna duyurdu. Gelişme, WhatsApp güvenlik açığı konusunda kullanıcıların dikkatini bir kez daha platform ayarlarına çevirdi.
WhatsApp Güvenlik Açığı Android Kullanıcılarını Etkiliyor
Google Project Zero araştırmacısı Brendon Tiszka, paylaştığı teknik raporda WhatsApp Android sürümünde risk oluşturan bir senaryoyu detaylı şekilde anlattı. Araştırmacı, saldırganın bir WhatsApp grubu oluşturarak hedef kişiyi ve hedefin rehberindeki bir kişiyi gruba ekleyebildiğini belirtti. Saldırgan, daha sonra rehberde yer alan kişiyi yönetici yaparak zararlı bir medya dosyasını gruba gönderebiliyor. Sistem, varsayılan ayarlar açık olduğunda bu dosyayı kullanıcıdan herhangi bir etkileşim talep etmeden indiriyor.
Bu süreçte medya dosyası Android işletim sisteminde MediaStore veri alanına kaydediliyor. Dosya, bu ortamdan çıkabilecek yeteneklere sahipse cihaz üzerinde istismar zincirinin ilk adımını oluşturabiliyor. Uzmanlar, bu yapının WhatsApp Android güvenlik riski açısından etkileşimsiz saldırılara zemin hazırladığını ifade ediyor.
Güvenlik açığı, teoride ciddi bir risk taşısa da bazı koşullara bağlı olarak çalışıyor. Saldırganın hedef kişinin telefon numarasını bilmesi ya da tahmin edebilmesi gerekiyor. Ayrıca gönderilen medya dosyasının ileri seviye zararlı yetenekler barındırması şart koşuluyor. Uzmanlar, bu seviyede dosya üretmenin her saldırgan için kolay olmadığını vurguluyor.
WhatsApp ayarlarında yer alan gelişmiş sohbet gizliliği seçeneği aktif edildiğinde sistem, grup sohbetlerinden gelen medya dosyalarını otomatik olarak indirmiyor. Aynı şekilde otomatik medya indirme özelliğinin kapatılması da kullanıcıyı bu tehditten büyük ölçüde uzak tutuyor. Bu noktada WhatsApp Android güvenlik açığı, ayarları varsayılan şekilde kullanan kullanıcılar için daha yüksek risk barındırıyor.
Google Project Zero ekibi, söz konusu açığı 1 eylül 2025 tarihinde Meta’ya gizli kanallardan bildirdi. Şirket, standart prosedür gereği 90 günlük düzeltme süresi tanıdı. Meta, 30 kasım 2025 tarihine kadar tam kapsamlı bir yama yayımlamayınca güvenlik açığı kamuoyuna açıklandı.
4 aralık 2025 tarihinde Tiszka, Meta’nın sunucu tarafında kısmi bir önlem aldığını doğruladı. Uzman, bu çözümün sorunu tamamen ortadan kaldırmadığını belirtti. O tarihten sonra hata kaydı üzerinde yeni bir güncelleme paylaşılmadı. Bu durum, WhatsApp Android açık raporu açısından sürecin henüz kapanmadığını gösteriyor.
Project Zero raporu, yalnızca Android sürümünün bu açık kapsamında değerlendirildiğini ortaya koydu. iOS ve masaüstü sürümler için benzer bir risk paylaşılmadı. Android kullanıcıları, grup sohbetlerinde gelişmiş sohbet gizliliği seçeneğini aktif ederek koruma seviyesini yükseltebiliyor. Ayrıca Ayarlar bölümünden depolama ve veri alanına girilerek otomatik medya indirme özelliği kapatılabiliyor.
Uzmanlar, kullanıcının bilgisi dışında gruplara eklenme ihtimaline karşı bu ayarların genel düzeyde açık tutulmasını öneriyor. Daha önce Meta tarafından doğrulanan ek dosya temelli bir güvenlik açığı da platformun saldırganlar açısından cazip bir alan oluşturduğunu gösteriyor. WhatsApp güvenlik açığı başlığı altında yaşanan bu gelişme, mobil mesajlaşma uygulamalarında gizlilik ayarlarının önemini bir kez daha hatırlatıyor.
