Geschil over onherstelbare iPhone-kwetsbaarheid escaleert naar rechtszaak

In juli 2026 heeft het Canadese digitale-forensica-bedrijf Magnet Forensics Inc. een federale rechtszaak aangespannen tegen voormalig contractant Mario Del Gaudio en het Spaanse onderzoeksbureau Paradigm Shift Technology S.L. . De aanklacht beschuldigt Del Gaudio ervan bedrijfsgeheimen met betrekking tot een nog niet bekende iPhone-zero-day-kwetsbaarheid te hebben gestolen en gedeeld met Paradigm Shift, dat vervolgens zijn eigen onderzoek naar dezelfde exploit publiceerde .

De kwetsbaarheid: 'usbliter8'

De exploit waar het geschil om draait, is een BootROM (SecureROM)-kwetsbaarheid in Apple's A12- en A13-chips, die onder andere de iPhone XS, XR, 11-serie en de tweede generatie iPhone SE treft . Paradigm Shift maakte deze kwetsbaarheid op 18–19 juni 2026 openbaar onder de naam 'usbliter8' . Omdat de BootROM tijdens de productie in silicium wordt gebakken, is de exploit onherstelbaar — geen enkele software-update van Apple kan dit verhelpen . Voor de exploit is fysieke USB-toegang nodig, bijvoorbeeld via een Raspberry Pi, maar het maakt een volledige jailbreak en diepgaande systeemcompromittering mogelijk .

Hoe de vermeende diefstal plaatsvond

Volgens de aanklacht van Magnet:

• Del Gaudio werkte onder contract voor Magnet Forensics aan de kwetsbaarheid, waarbij hij geheimhoudingsovereenkomsten tekende die de bedrijfsgeheimen en zero-day-onderzoek van het bedrijf beschermden .
• Nadat zijn contract afliep, publiceerde Paradigm Shift onafhankelijk een volledige technische uiteenzetting en een werkend proof-of-concept van dezelfde exploit — waarvan Magnet beweert dat het deze al had ontdekt en als eigen capaciteit had bewaard .
• Magnet stelt dat Del Gaudio's werk bij Magnet direct heeft bijgedragen aan de publicatie van Paradigm Shift, waardoor de commerciële waarde van de onbekend gebleven exploit van Magnet volledig teniet is gedaan .

Juridische basis en gevraagde maatregelen

De rechtszaak is aangespannen op grond van de Defend Trade Secrets Act (DTSA), 18 U.S.C. § 1836 e.v., de federale wet die eigenaren van bedrijfsgeheimen in staat stelt om voor de federale rechter te procederen wegens verduistering . De aanklacht van Magnet omvat ook claims op basis van de Florida Uniform Trade Secrets Act, contractbreuk en gerelateerde punten.

Magnet vraagt om:

• Een tijdelijk straatverbod (TRO) om verdere openbaarmaking of gebruik van de bedrijfsgeheimen onmiddellijk te voorkomen .
• Een voorlopige voorziening om de status-quo te handhaven terwijl de zaak loopt .
• Een juryrechtspraak over alle claims .
• Schadevergoeding voor de vernietiging van de waarde van het bedrijfsgeheim, inclusief de kosten van het onderzoeksinvesteringen die door de openbaarmaking effectief teniet zijn gedaan .

Context: Economie van de offensieve beveiligingsindustrie

Deze rechtszaak belicht een fundamentele economische kwetsbaarheid in de offensieve beveiligingssector: een enkele zero-day-openbaarmaking kan miljoenen dollars aan onderzoeksinvestering vernietigen. Bedrijven zoals Magnet besteden veel geld aan het ontdekken en bewapenen van kwetsbaarheden die vervolgens door overheidsinstanties en politie worden gebruikt voor rechtmatige toegang tot apparaten. Zodra een kwetsbaarheid publiekelijk wordt gemaakt, verdwijnt de exclusiviteit — en daarmee de commerciële waarde — volledig . Dit creëert enorme druk om zero-days geheim te houden en even grote kans op juridische stappen wanneer een voormalige contractant of onderzoeker naar een concurrent verhuist of onafhankelijk publiceert.

Bedrijfsgeschiedenis van Magnet Forensics

• Overname door Thoma Bravo: In januari 2023 stemde Thoma Bravo ermee in om Magnet Forensics over te nemen voor ongeveer C$1,8 miljard (ongeveer $1,34 miljard USD), waarmee het bedrijf van de beurs werd gehaald . De deal werd later in 2023 afgerond.
• Fusie met Grayshift: Thoma Bravo fuseerde Magnet Forensics met Grayshift LLC, een ander digitaal forensisch bedrijf dat het eerder had overgenomen . Grayshift is de maker van GrayKey, een veelgebruikte iPhone-ontgrendelingstool.
• GrayKey en overheidscontracten: GrayKey wordt gebruikt door de Amerikaanse politie en federale instanties, waaronder ICE (U.S. Immigration and Customs Enforcement). ICE had een contract met Grayshift ter waarde van ongeveer $3 miljoen voor GrayKey-apparaten en -diensten.

Status van de gedaagden

Op de rapportagedatum van 17–18 juli 2026 hadden noch Mario Del Gaudio noch Paradigm Shift Technology S.L. publiekelijk gereageerd op de beschuldigingen . Paradigm Shift had de technische openbaarmaking van 'usbliter8' weken eerder, in juni 2026, gepubliceerd en het blogbericht van het bedrijf verwijst niet naar enig geschil met Magnet.

Let op: De kwetsbaarheid is onherstelbaar. Apple kan deze fout niet verhelpen met een software-update. Gebruikers van getroffen apparaten (iPhone XS, XR, 11-serie, iPhone SE 2e gen) moeten zich ervan bewust zijn dat fysieke toegang tot het apparaat nodig is voor de exploit.