Apple закрыла уязвимость в Beats Studio Buds, позволявшую прослушивать разговоры

Apple выпустила обновление безопасности для наушников Beats Studio Buds, устраняющее уязвимость CVE-2025-20701 высокой степени опасности. Брешь находилась в Bluetooth-чипе производителя Airoha и при успешной эксплуатации позволяла злоумышленнику перехватывать аудио в режиме реального времени, получать историю звонков, список контактов и даже инициировать исходящие вызовы с устройства жертвы.

Детальный технический разбор уязвимости опубликовала компания Sentinel One. Исследователи Хайнце и Штайнмец, обнаружившие проблему, описали полную цепочку атаки ещё в прошлом году. По их словам, конкретный набор доступных злоумышленнику возможностей зависит от того, с какими устройствами сопряжены наушники: функциональность различается в зависимости от платформы — iOS, Android или другой.

Как работает атака и почему она сложна в исполнении

Ключевое ограничение подобных атак — физическая близость. Злоумышленник обязан постоянно находиться в зоне действия Bluetooth целевого устройства на протяжении всей эксплуатации уязвимости. Это существенно сужает круг потенциальных жертв: массовые атаки через интернет здесь невозможны, а целенаправленная слежка требует значительных ресурсов и присутствия рядом с жертвой.

По имеющимся данным, случаев активной эксплуатации уязвимостей подобного класса в реальных условиях зафиксировано крайне мало. Тем не менее специалисты по безопасности настаивают: сам факт существования такой возможности — уже серьёзный риск для людей, которые могут быть целью направленной слежки: журналистов, топ-менеджеров, государственных служащих.

Для снижения рисков эксперты рекомендуют отключать Bluetooth на устройствах, когда он не используется. Это простая мера, которая полностью исключает вектор атаки через беспроводной интерфейс.

Уязвимость Airoha — не единственная проблема в экосистеме Bluetooth-устройств

Наушники Beats — далеко не единственные устройства с подобными проблемами. В январе 2026 года исследователи раскрыли уязвимость под названием WhisperPair — серию брешей в протоколе Google Fast Pair, который используется для быстрого сопряжения Bluetooth-аксессуаров с Android-устройствами.

WhisperPair позволяет атакующему перехватить управление уже подключённым Bluetooth-устройством, а также геолоцировать его владельца. Уязвимость затрагивает более дюжины устройств от 10 производителей, среди которых Sony, Nothing, JBL, OnePlus и сам Google. Масштаб проблемы значительно шире, чем один бренд или один чип.

Общая картина складывается тревожная: Bluetooth-стек в потребительской электронике системно недостаточно защищён. Производители чипов, вендоры устройств и платформенные компании нередко закрывают уязвимости с задержкой, а пользователи узнают о проблемах уже после того, как исследователи публично раскрывают детали.

Что это означает для пользователей в Беларуси

Для белорусской аудитории тема актуальна сразу в нескольких плоскостях. Во-первых, наушники Beats и устройства на базе Google Fast Pair широко распространены среди IT-специалистов и менеджеров — именно той аудитории, которая потенциально интересна для направленной слежки.

Во-вторых, корпоративные политики безопасности в белорусских компаниях — особенно резидентах ПВТ, работающих с зарубежными заказчиками, — нередко требуют соблюдения строгих стандартов защиты данных. Использование непропатченных Bluetooth-устройств на рабочих встречах или переговорах может нарушать эти требования и создавать юридические риски.

Практическая рекомендация проста: проверьте версию прошивки своих Beats Studio Buds через приложение Beats или настройки iOS/Android и установите доступное обновление. Если устройство не получает обновлений — отключайте Bluetooth вне активного использования, особенно в публичных местах с высокой плотностью людей: аэропортах, конференц-залах, коворкингах.

Более широкий вывод для IT-профессионалов: аксессуары класса «умные наушники» и носимая электроника всё чаще становятся полноценным вектором атаки. Модель угроз для корпоративной среды должна включать не только ноутбуки и смартфоны, но и периферию с беспроводными интерфейсами.

— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business.