Коротко: Исследователи компании Calif обнаружили в WeChat самораспространяющегося червя WeWorm: уязвимость в VoIP-стеке позволяла захватить аккаунт жертвы во время входящего звонка — до ответа. Tencent заблокировал атаку 28 августа 2026 года; патч приложения вышел 21 августа. Активных атак в дикой природе не зафиксировано.
Что случилось
7–8 сентября 2026 года компания Calif опубликовала подробности уязвимости класса «нулевого клика» в WeChat. Эксплойт использует ошибку повреждения памяти в VoIP-стеке приложения — компоненте, обрабатывающем звонки. Когда устройство жертвы начинало «звонить», уязвимый код активировался ещё на фазе установки соединения — до ответа на вызов.
Сопоставимую угрозу zero-click мы ранее разбирали в материале о дырах в AirDrop и Quick Share. WeWorm относится к тому же классу атак: взаимодействие жертвы не требуется, вектором служит стандартный канал коммуникации.
Как работает WeWorm
Единственное условие атаки: злоумышленник должен числиться в контактах WeChat жертвы. После этого достаточно позвонить ей в приложении. В момент получения вызова WeWorm отправляет специально сформированный пакет через уязвимый VoIP-стек — это приводит к выполнению произвольного кода с привилегиями WeChat.
Итог: атакующий получает полный контроль над аккаунтом — может читать и отправлять сообщения, звонить от имени жертвы, получать доступ к истории переписки. Что ещё опаснее, WeWorm самораспространяется: захватив аккаунт, он автоматически рассылает вызовы всем контактам жертвы, превращая единственный взлом в цепную реакцию. Исследователи Calif создали прототип примерно за двое суток, активно используя ИИ для анализа бинарного кода. О том, как обнаружить нежелательную слежку на смартфоне, читайте в нашем блоге о приватности и безопасности.
Кого затрагивает угроза
WeChat насчитывает более 1 миллиарда пользователей — прежде всего в Китае, а также среди тех, кто ведёт бизнес с китайскими партнёрами или поддерживает связь с диаспорой. Захват аккаунта открывал доступ ко всей переписке: деловым договорённостям, личным сообщениям, медиафайлам.
Самораспространение делало угрозу особенно острой для корпоративных сетей: один скомпрометированный аккаунт мог запустить цепочку взломов внутри организации, если сотрудники состоят в контактах друг у друга. Принципиально важная деталь: приложение могло быть атаковано в фоновом режиме — пока телефон лежит на столе и экран выключен. Именно это отличает zero-click атаки от обычного фишинга.
Закрыта ли уязвимость
Да. Calif провёл ответственное раскрытие, Tencent отреагировал оперативно. 21 августа 2026 года вышли патчи: WeChat для Android 8.0.77 и WeChat для iOS 8.0.76. 28 августа Tencent ввёл дополнительный серверный блок — защиту для тех, кто ещё не успел обновиться. Tencent сообщил об отсутствии зафиксированных атак в реальной среде; исследователи оговорились, что это означает лишь отсутствие публично задокументированных случаев.
Как защитить себя
Обновите WeChat немедленно. Если установлена версия ниже Android 8.0.77 или iOS 8.0.76 — обновите через App Store или Google Play. Серверный блок снижает риск, но патч закрывает уязвимость окончательно.
Включите двухэтапную верификацию WeChat. Дополнительная аутентификация усложняет несанкционированный вход, если данные аккаунта окажутся скомпрометированы другим способом.
Проверьте список контактов. WeWorm требует, чтобы атакующий значился в контактах жертвы. Удалите незнакомых или непроверенных людей.
Защитите сетевой слой. LiMP VPN шифрует весь трафик устройства, защищая от перехвата в публичных и корпоративных сетях. VPN не устраняет уязвимости в коде приложения — это делает только патч, — но закрывает сетевой уровень. Посмотрите тарифы и выберите подходящий план.
Источники
- WeChat Zero-Click Worm Took Over Accounts on iPhone and Android via Incoming Calls — The Hacker News, сентябрь 2026
- Zero-click WeChat worm could hijack accounts and spread via a single call — Help Net Security, 8 сентября 2026
- WeChat Worm Can Hijack Accounts Without Victims Answering Calls — Security Affairs, сентябрь 2026