Un dia zero al desembre, munició de sèrie a l'agost

El 12 de desembre del 2025, Apple va corregir una fallada de WebKit amb una d'aquelles frases que es llegeixen per sobre: sabia d'un informe segons el qual podia haver estat explotada «en un atac extremadament sofisticat contra persones concretes». Traducció pràctica per a una pime: això és espionatge car i no va amb tu. Dos-cents cinquanta-vuit dies després, aquella mateixa fallada se servia a qualsevol que obrís la web d'una empresa gasista amb un iPhone sense actualitzar.

El 4 de novembre, la firma francesa Sekoia va publicar l'anàlisi d'aquella campanya. Tres cadenes d'exploits —dues contra iOS i una contra Android— servides des de webs legítimes durant una setmana de finals d'agost del 2026. I una frase al mig de l'informe: «Les tres cadenes d'exploits es recolzen completament en vulnerabilitats conegudes i ja apedaçades. Cap no conté dies zero ni funciona contra dispositius completament actualitzats. Cada fallada va ser resolta pel seu fabricant abans que comencés aquesta campanya.»

De tot això ens quedem amb la columna que no surt a cap titular: quants dies feia que estava publicat el pedaç de cada peça quan es va disparar. I amb l'aparell per on entrava tot, que era el telèfon i no el servidor: l'única part del parc que a la majoria d'empreses no té inventari, ni finestra d'actualització, ni amo.

Set dies dins de la web d'un altre

El que costa pair d'aquesta campanya és com hi va arribar. Entre el 27 d'agost i el 3 de setembre del 2026, l'atacant va introduir codi al fitxer d'un servei ucraïnès d'analítica web, Plerdy, que carreguen milers de pàgines. L'afegit cap en cinc línies: en acabar de carregar la pàgina, crear una etiqueta script, apuntar-la a un domini aliè i penjar-la del document. Això és tot. La resta ho feia el navegador del visitant, obeint.

Durant aquella setmana, segons Sekoia, van quedar exposats centenars de llocs —entre ells pàgines d'exèrcit, forces especials i material militar—, a més de webs compromeses una a una: una gasista ucraïnesa, una associació sectorial de la indústria química nord-americana, un partit polític europeu d'extrema dreta i un lloc militar búlgar. I dos dominis falsos que feien de mirall de llocs reals. Ningú no va descarregar cap adjunt. Ningú no va clicar un correu estrany. La gent va obrir una pàgina que feia anys que visitava.

El perímetre de la teva web no és el teu codi. És la llista de dominis als quals les teves pàgines li diuen al navegador del visitant que es pot refiar. Analítica, mapes, xat, fonts tipogràfiques, el píxel de la campanya que va muntar algú el 2019. D'això ja en vam escriure per una altra cosa, quan explicàvem que el teu inventari no té una línia per a Brotli: el problema arriba quan aquella llista no existeix enlloc.

L'edat de cada peça

Aquesta taula l'hem muntada nosaltres creuant les cadenes que descriu Sekoia amb les dates dels avisos de cada fabricant. L'última columna són dies naturals fins al 27 d'agost del 2026, el dia que va arrencar la campanya.

Falten tres peces de la cadena llarga d'iOS —CVE-2025-14174, CVE-2025-43510 i CVE-2025-43520— que també estaven corregides: la primera és de WebKit i va sortir el mateix 12 de desembre; les dues del nucli es van arreglar abans, el 5 de novembre del 2025 a iOS 18.7.2 —295 dies—, encara que Apple no en va afegir les entrades a aquella pàgina fins al 12 de desembre. I en sobren quatre més: el kit portava dins dues fallades del 2024 com a codi mort, inabastable —Sekoia diu que probablement d'una versió anterior de l'eina— i dues vies alternatives que no s'arribaven a fer servir. Un exploit amb deute tècnic. D'on ve aquell deute ho explica el mateix informe dos apartats més avall.

La fila de Qualcomm mereix una nota, perquè és la que pitjor es tradueix a una acció. El butlletí del fabricant és del 2 de juny del 2025 —i allà Qualcomm ja escrivia que hi havia indicis de Google TAG d'explotació «limitada i dirigida», és a dir que també va començar sent un dia zero—, però el pedaç d'un controlador gràfic no arriba al telèfon quan Qualcomm el publica: arriba quan el fabricant de l'aparell l'integra i el distribueix, si ho fa. Ja ho vam explicar amb una altra capa del mateix problema: el pedaç d'Android no arriba al mòdem. Si es compta des del butlletí d'Android d'agost del 2025, que és on ho situa SecurityWeek, surten uns 387 dies en lloc de 451. Continua sent més d'un any. La fila de Chrome té el mateix problema a l'inrevés i ho diem abans que ens ho diguin: el 12 de març és la data del canal d'escriptori, i la cadena ataca Chrome a Android; no hem pogut fixar amb font primària el dia exacte del canal d'Android, de manera que els 168 són el nostre càlcul sobre la data d'escriptori. I n'hi ha una tercera: el salt de PAC de la cadena llarga es va corregir l'11 de febrer a iOS 26.3, i no hem trobat cap pàgina d'Apple que fixi quan va arribar aquella correcció a la branca 18.x. Si no hi va arribar, per a un iPhone a 18.5 el pedaç no era a la seva branca i els 197 dies no són comparables amb la resta.

El que aturava la cadena vella era un punt decimal

La cadena curta apunta a iOS 16.7 i, segons l'informe, hauria de funcionar de la 16.0 a la 17.4 —«should work», escriu Sekoia; és la seva estimació, no una matriu provada—. No és casualitat que el sostre caigui just allà: la seva segona peça, el salt de Pointer Authentication, la va corregir Apple a la 17.5. I la fitxa d'aquella fallada porta un detall que és a la llista de versions corregides i gairebé ningú no obre: també es va arreglar a iOS 16.7.8, el 13 de maig del 2024, dins de la mateixa branca 16.

Convé ser exactes amb per a qui existeix aquella versió, perquè és el que sosté l'argument: Apple va publicar iOS 16.7.8 només per a iPhone 8, 8 Plus, iPhone X, iPad de 5a generació i els dos primers iPad Pro, és a dir, per als aparells que no poden pujar a iOS 17. A un iPhone 11 aparcat a la 16.7 no se li ofereix la 16.7.8: se li ofereix la 17.5, que corregeix el mateix. En tots dos casos la correcció era a un botó de distància i no calia canviar de telèfon.

I la branca no es va quedar al 2024. Apple va publicar iOS 16.7.16 l'11 de maig del 2026 per a aquells mateixos models: 108 dies abans que comencés la campanya. Un telèfon que marcava «16.7» a seques anava vuit actualitzacions endarrerit respecte d'una branca que continuava viva tres mesos abans de l'atac. El 4 de novembre, CISA va posar aquell salt de PAC al seu catàleg de fallades explotades i va donar a les agències federals fins al 18 de novembre per arreglar-ho; la peça d'entrada, CVE-2025-43529, ja era al mateix catàleg amb termini del 5 de gener del 2026, vuit mesos abans de la campanya.

Hi ha un detall de l'informe que juga en contra dels mateixos atacants i que convé no amagar: el servidor que servia aquesta cadena filtrava per «iOS 16.7 / 16.7.10». La 16.7.10 és d'agost del 2024 i ja porta a dins la correcció del salt de PAC. Sekoia ho llegeix com el mateix que el codi mort: operadors reutilitzant exploits sense tocar el filtre. És a dir, part dels trets anaven contra versions on una de les dues baules ja estava trencada.

Aquest és el revers del post que vam publicar fa unes hores sobre apedaçar i continuar exposat. Allà el fabricant va dir que havia arreglat una cosa i no l'havia arreglada: actualitzar no servia de res i no era culpa de ningú del costat del client. A la cadena curta d'avui passa el contrari. El pedaç existia, era de franc, era a la branca correcta i funcionava. La decisió va ser nostra. A la cadena llarga, la de contra iOS 18.5, no podem dir el mateix: mentre no sapiguem quan va arribar la correcció del salt de PAC a la branca 18.x, cal deixar oberta la possibilitat que aquells usuaris no tinguessin cap botó per prémer.

El kit comprova que ets un mòbil abans de disparar

Abans de servir res, el codi perfila l'aparell. Segons Sekoia, tres camps poden cancel·lar el lliurament si els seus valors no quadren: l'amplada i l'alçada de pantalla —descarta dimensions impossibles per a un telèfon, del tipus 99999— i navigator.maxTouchPoints a zero, que és com es delata un ordinador de sobretaula. A Android, a més, només dispara a Chrome de la versió 139 a la 145, saltant-se la 143 per un motiu que el mateix informe reconeix no saber. I si detecta l'identificador SM-S938B, un model concret de telèfon, s'atura.

La conclusió operativa: la campanya se saltava deliberadament els equips que sí que són dins de la teva política d'apedaçament i apuntava als que no. La raó és que el telèfon és on ningú no mira la versió. Un portàtil corporatiu s'actualitza perquè hi ha una eina que l'obliga; un telèfon s'actualitza quan el seu usuari decideix que ja n'hi ha prou de posposar.

I el que s'enduien no era poc. A la cadena llarga d'iOS, segons recull SecurityWeek de l'informe: missatges, correus, missatges de veu, credencials, tokens, contactes, trucades, calendari, galetes i historial del navegador, fotos i contingut d'iCloud Drive. A Android: galetes, informació de compte, contrasenyes, historial de navegació i claus de wifi. Si aquell telèfon obre el correu de l'empresa, acabes de perdre la sessió d'una bústia i, amb les galetes, possiblement el segon factor d'aquella sessió.

D'on sortia el kit

L'informe ho diu sense cerimònia, i és la part que més canvia la lectura. Una de les cadenes d'iOS és DarkSword, un kit que Sekoia descriu com a desenvolupat presumptament per un proveïdor comercial de vigilància, i la mostra servida en aquesta campanya «aprofita el mateix RCE (CVE-2025-43529) que el disponible al kit d'exploits filtrat DarkSword». Filtrat de manera literal: el codi complet va aparèixer en un repositori públic de GitHub el 22 i 23 de març del 2026, 157 dies abans que arrenqués la campanya, i els qui el van examinar llavors van deixar escrit que era HTML i JavaScript, material que qualsevol pot copiar i servir des d'un servidor propi en qüestió d'hores.

Això tira a terra la conclusió còmoda, que era la nostra fins a llegir l'informe sencer: que un servei d'intel·ligència amb pressupost va decidir no gastar els seus dies zero. El que va passar va sortir encara més barat. Va recollir de terra una arma que feia cinc mesos que estava llençada. I explica d'una vegada el codi mort, el filtre que apunta a versions ja apedaçades i tot el que sembla descuit: són les marques de fer servir l'eina d'un altre.

Fa dues setmanes vam explicar les cinc portes de SafePay, cap del 2026, un ransomware que entrava per fallades velles. La temptació és dir que això juga en una altra lliga. Hi juga menys del que sembla: la mateixa economia de munició reciclada, amb la diferència que aquí l'arma va començar sent cara. El que ha baixat és el preu de l'equipament, i l'ha baixat fins a zero en cinc mesos.

Les dues llistes que gairebé ningú no té

De tot això en surten dos lliurables, i cap no és comprar res. Al lloc de treball gestionat això és feina d'una tarda, i la primera vegada gairebé sempre apareix alguna cosa que ningú no esperava.

Abans que això s'expliqui malament

Quatre acotacions.

Si vols començar per algun lloc, comença per la llista de telèfons i les seves versions. No costa diners i gairebé sempre torna el mateix resultat: hi ha tres o quatre aparells molt endarrerits, i tots pertanyen a gent que viatja molt. Si prefereixes que la fem nosaltres, escriu-nos.

La frase que ens enduem no és «actualitza el mòbil». És que un dia zero té dues vides. La primera dura setmanes i es gasta contra gent amb nom i cognoms. La segona comença el dia que surt el pedaç, dura exactament el que tu triguis a posar-lo, i s'allarga cada cop que l'arma canvia de mans i baixa de preu.

Fonts. Consultades el 5 de novembre del 2026. La campanya, les tres cadenes i els seus CVE, les dates del compromís de Plerdy (27 d'agost a 3 de setembre del 2026), el codi injectat, els llocs compromesos i els dos dominis falsos, els filtres de pantalla, maxTouchPoints, versions de Chrome i model exclòs, el codi mort i l'atribució amb «confiança moderada a alta» són de l'informe de Sekoia «Poisoned Source: APT29 watering holes targets mobile devices with n-day exploits», publicat el 4 de novembre del 2026. El detall del que roba la càrrega d'iOS i la ubicació del pedaç de Qualcomm al butlletí d'Android d'agost del 2025 són de la cobertura de SecurityWeek. Les dates i versions dels pedaços d'Apple, de les seves pròpies pàgines de contingut de seguretat: CVE-2024-27834 corregida el 13 de maig del 2024 a Safari 17.5, iOS i iPadOS 17.5, iOS i iPadOS 16.7.8, macOS Sonoma 14.5, tvOS 17.5 i watchOS 10.5 (CVSS 5,5, crèdit a Manfred Paul amb la Zero Day Initiative de Trend Micro); CVE-2025-43529 i CVE-2025-14174 el 12 de desembre del 2025, totes dues de WebKit, a iOS i iPadOS 18.7.3 i 26.2, amb la nota d'Apple, que citem abreujada al text i sencera aquí: «Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26»; CVE-2025-43510 i CVE-2025-43520, del nucli, a la pàgina d'iOS i iPadOS 18.7.2, amb entrades afegides el 12 de desembre del 2025. CVE-2026-20700, apedaçada l'11 de febrer del 2026. CVE-2026-3910, del motor V8, a l'actualització del canal estable de Chrome del 12 de març del 2026 (versions 146.0.7680.75 i .76). CVE-2025-27038, del controlador Adreno, al butlletí de seguretat de Qualcomm del 2 de juny del 2025, que ja parlava d'indicis de Google TAG d'explotació limitada i dirigida. L'alta de CVE-2024-27834 al catàleg KEV de CISA el 4 de novembre del 2026, amb termini federal el 18. La filtració pública de DarkSword a GitHub els dies 22 i 23 de març del 2026, i la descripció del material com a HTML i JavaScript reutilitzable en qüestió d'hores, són de la cobertura de TechCrunch del 23 de març del 2026; la identificació del kit i el seu vincle amb aquesta campanya, del mateix informe de Sekoia. L'existència i la data d'iOS i iPadOS 16.7.16, de l'11 de maig del 2026, i la llista de models als quals s'ofereix aquella branca són de la pàgina d'Apple corresponent. Els càlculs de dies són nostres, fets sobre aquelles dates fins al 27 d'agost del 2026. El que no hem pogut verificar i per això queda dit al text: la data exacta del canal de Chrome per a Android (prenem la d'escriptori) i la data en què la correcció de CVE-2026-20700 va arribar, si hi va arribar, a la branca iOS 18.x. La lectura que iOS 16.7.8 trencava la cadena curta és nostra, i està marcada com a tal al text; el criteri sobre inventari de dispositius, polítiques d'accés i dominis de tercers surt de la nostra pròpia feina i no l'avala cap d'aquelles fonts.