Un error en WhatsApp para Windows puede ser explotado para ejecutar código malicioso por cualquier persona lo suficientemente astuta como para persuadir a un usuario a abrir un archivo adjunto manipulado. Y, para ser justos, no se necesita mucha astucia para lograrlo.
La falla de suplantación de identidad, identificada como CVE-2025-30401, afecta a todas las versiones de WhatsApp Desktop para Windows anteriores a la 2.2450.6 y se debe a un error en la forma en que la aplicación gestiona los archivos adjuntos.
En concreto, WhatsApp muestra los archivos adjuntos según su tipo MIME (los metadatos que indican qué tipo de archivo es), pero cuando un usuario abre el archivo, la aplicación lo procesa según su extensión. Esto significa que algo disfrazado de imagen inofensiva con el tipo MIME correcto, pero con la extensión .EXE, podría ejecutarse como un programa si el usuario hace clic en él.
«Una discrepancia maliciosa podría haber provocado que el destinatario ejecutara código arbitrario sin darse cuenta en lugar de ver el archivo adjunto al abrirlo manualmente en WhatsApp», explicó Meta, la empresa matriz de WhatsApp, en su aviso de seguridad.
Si bien WhatsApp siempre es un objetivo atractivo para los delincuentes, este error en particular requiere la interacción del usuario: la víctima tiene que abrir manualmente el archivo adjunto malicioso para que se ejecute la carga útil.
Pero esto no sería demasiado difícil, ya que muchos usuarios tienden a hacer clic en cualquier cosa, e incluso un internauta astuto podría verse inclinado a abrir un archivo adjunto enviado, por ejemplo, por alguien que no conoce, pero que pertenece a su grupo de vigilancia vecinal de WhatsApp. Un programa ejecutado de esta manera puede encontrarse con otras defensas en su sistema, observamos.
Asegúrate de usar una versión de WhatsApp para Windows superior a la 2.2450.6 para mayor seguridad. No está claro si alguien está haciendo esto en la práctica; el aviso no indica si la falla está siendo explotada.
Fuente y redacción: segu-info.com.ar
