WhatsApp LLCは、WhatsAppセキュリティアドバイザリを公開した。
・CVE-2026-23866
iOS版WhatsApp v2.225.8.0～v2.26.15.72 および Android版WhatsApp v2.225.8.0～v2.26.7.10 では、Instagram Reels向けのAI生成リッチレスポンスメッセージの検証が不十分で、ユーザーが他のユーザーのデバイス上で任意のURLからのメディアコンテンツの処理をトリガーできる可能性がある。これには、OSによって制御されるカスタムURLスキームハンドラの起動も含まれる。
なお現時点で、本脆弱性が実際に悪用された証拠は確認されていない。
・CVE-2026-23863
v2.3000.1032164386.258709 以前の Windows 版 WhatsApp には、添付ファイルのスプーフィングの問題で、ファイル名に NUL バイトが埋め込まれた悪意のある形式のドキュメントが、アプリケーション上ではある種類のファイルとして表示されるものの、開いた際に実行ファイルとして実行されてしまう可能性がある。
なお現時点で、本脆弱性が実際に悪用された証拠は確認されていない。
