Apple hatte das Problem im Mai 2024 mit verbesserten Prüfungen behoben – in iOS 16.7.8 und iPadOS 16.7.8, iOS 17.5 und iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 sowie Safari 17.5. Zuvor war die Lücke im März desselben Jahres als Zero-Day beim Hacking-Wettbewerb Pwn2Own Vancouver demonstriert worden.
Der Aufnahme in den KEV-Katalog ging ein Bericht von Sekoia voraus: Demnach nutzten mutmaßlich mit Russland verbundene Akteure bereits gepatchte Schwachstellen in Safari und Google Chrome aus, um Schadsoftware auszuliefern, die Browser- und Gerätedaten abgreift. Sekoia schreibt die Aktivität mit „mittlerer bis hoher Zuversicht" der staatlich unterstützten Gruppe APT29 (auch Cozy Bear und Midnight Blizzard) zu, die dem russischen Auslandsgeheimdienst zugerechnet wird.
Die Angriffe setzen auf drei Wege für den Erstzugriff: kompromittierte legitime Websites, gefälschte Seiten, die sich als bekannte Websites ausgeben, sowie einen Lieferkettenangriff auf den Plerdy SEO Tracker. Über diese Kanäle wird bösartiges JavaScript ausgeliefert, das die Schwachstelle auslöst und nach einer Profilerstellung des Geräts des Besuchers die datenstehlende Nutzlast ausführt.
Die Zero-Click-Exploit-Kette kombiniert CVE-2025-43529, eine Lücke zur Remote-Code-Ausführung in WebKit, mit der Umgehung der Pointer Authentication Codes (PACs), um eine JavaScript-Nutzlast zum Diebstahl von Browser-Cookies auszuführen.
Angesichts der aktiven Ausnutzung sollen die zivilen US-Bundesbehörden (FCEB) die nötigen Patches bis zum 18. November 2026 einspielen.