Una falla di sicurezza su WhatsApp espone le foto salvate all’interno di diversi smartphone Android, consentendo l’accesso alla galleria personale senza inserire PIN, password o impronta digitale. L’anomalia richiede il possesso fisico del telefono, ma supera le protezioni di sistema sfruttando gli strumenti grafici integrati nell’applicazione di messaggistica.
Come funziona il bypass con Meta AI
Il percorso di violazione si attiva quando uno smartphone bloccato riceve una videochiamata WhatsApp. Chiunque impugni il dispositivo può rispondere direttamente dalla schermata di blocco senza autenticarsi.
A connessione avviata, l’interfaccia permette di aprire la sezione degli effetti video e degli sfondi, dove compare la voce “Crea con Meta AI”. Selezionando l’opzione per modificare o utilizzare un’immagine già salvata nel dispositivo, il sistema mostra l’archivio fotografico interno.
Android dovrebbe impedire la consultazione dei file privati richiedendo una verifica biometrica o numerica. In determinate configurazioni questo sbarramento fallisce, lasciando scorrere liberamente tutti gli scatti presenti in memoria.
I dispositivi vulnerabili e quelli protetti
Il comportamento anomalo non si manifesta in modo identico su tutti gli apparati in commercio, evidenziando differenze sostanziali nella gestione dei permessi tra i vari produttori.
I test su Pixel, Oppo e Samsung
Le verifiche condotte da DDay.it hanno confermato l’esistenza del bypass su un Google Pixel 6 Pro aggiornato ad Android 17 con le patch di sicurezza più recenti. Il medesimo accesso incontrollato alla galleria fotografica è stato replicato su un Oppo K13 dotato di ColorOS 16.
Mano che raggiunge uno smartphone con chiamata in arrivo su una scrivania, accanto a foto stampate sfocate.
Un comportamento opposto si registra sui terminali Samsung. Durante i test su un Galaxy S25 Ultra con interfaccia One UI 8.5, il tentativo di aprire la funzione “Crea con Meta AI” interrompe immediatamente l’operazione, rimandando l’utente alla schermata di blocco per la verifica del PIN o dei dati biometrici.
La protezione di iOS e l’attesa delle patch
Gli iPhone risultano del tutto immuni al problema. Il sistema operativo di Apple gestisce le chiamate VoIP in entrata attraverso l’architettura nativa CallKit, impedendo a WhatsApp di caricare componenti dell’interfaccia come la modifica dello sfondo o l’esplorazione dei file prima dello sblocco del dispositivo.
La falla è stata notificata sia a Meta che a Google per stabilire se il rimedio debba essere introdotto con un aggiornamento dell’applicazione WhatsApp o tramite correttivi specifici del firmware Android. Al momento non sono state fornite indicazioni ufficiali sulle tempistiche di distribuzione dei pacchetti risolutivi.
