文章总结： WeWorm是首个通过微信语音通话传播的零点击蠕虫病毒，影响iOS和Android平台，攻击者无需受害者接听即可劫持账户。腾讯已通过服务端修复和客户端更新解决该内存损坏漏洞。建议用户立即更新微信至最新版本，删除陌生联系人并对异常来电保持警惕。 综合评分： 85 文章分类： 漏洞分析,恶意软件,应急响应,漏洞预警,移动安全

WeWorm：首个通过iOS和Android微信通话传播的零点击蠕虫病毒

sec随谈 sec随谈

sec随谈

2026年9月9日 08:49 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

摘要

安全公司 Calif 构建了 WeWorm——首个通过微信语音通话传播的零点击蠕虫病毒，iOS 和 Android 均受影响。一通未接来电即可在数秒内劫持受害者账户。腾讯已为所有用户修补了底层内存损坏漏洞。

为何重要

微信是超过十亿中国用户及全球华人社区的主导通讯与支付平台。一款通过语音通话传播、无需任何点击或接听操作的蠕虫病毒，代表了一种用户几乎无法独自防范的威胁类别。

Calif 警告称其规模触目惊心。研究人员表示：”一旦被利用，攻击者可入侵超过十亿部手机（或账户），颠覆人们的生计，瓦解社区纽带。”《纽约时报》报道，专家认为一个实战版本可在数小时内波及数亿账户。

这一威胁并非纸上谈兵。Calif 团队借助 AI 辅助，仅用约两天时间便发现漏洞并编写出首个远程代码执行（RCE）利用程序，再用一周时间构建了完整蠕虫。这一速度预示着一个转变：攻击开发周期正在急剧缩短。

WeWorm 的工作原理

根本原因是微信 VoIP 通话处理栈中的一个内存损坏漏洞。Calif 目前暂不披露完整技术细节，计划在即将举行的会议上发表。但攻击机制已从其发布的 WeWorm 研究中清晰呈现。

攻击者向目标发起微信通话，漏洞利用在手机仍处于振铃阶段时即触发。Calif 公告指出：”受害者无需接听电话，也无需以任何方式操作手机。”拒接电话可阻止本次攻击，但攻击者可简单重试——例如趁目标熟睡时发起。

一旦利用成功，攻击者即获得该微信账户的完全控制权，可读取和发送消息、拨打电话并冒充受害者。被入侵的账户随后会自动呼叫受害者的联系人，循环重复上述过程。

若与 Calif 正协助修复的其他 Android 及 iOS 漏洞相结合，该漏洞可升级为完整的设备控制权限。但仅凭 WeWorm 漏洞本身，并不能保证完全接管设备。

好友列表门槛

该攻击要求攻击者出现在受害者的微信好友列表中。这听起来像是一道有意义的门槛，实则不然。

攻击者可先入侵受害者的某位联系人，再借助该可信账户抵达受害者。微信与许多通讯应用一样，向可信联系人授予较高权限。这一设计选择使被入侵的联系人成为渗透整个社交网络的跳板。

受影响版本与修补状态

腾讯于 2026 年 8 月 28 日（Calif 公开披露之前）已为所有用户完成服务端修复。腾讯还于 8 月 21 日发布了更新版应用——Android 8.0.77 和 iOS 8.0.76，缓解了客户端漏洞利用。9 月 4 日，腾讯确认该漏洞可被用于远程命令执行。

目前尚未有公开的 CVE 编号分配给此漏洞。Calif 表示将在会议发表前暂不披露技术细节。除 Calif 自身的概念验证研究外，尚未确认有在野利用案例。

披露时间线

Calif 的 AI 于 2026 年 7 月某时发现该漏洞，工程团队于 7 月 23 日获悉，并于 7 月 24 日向腾讯报告。Calif 于 7 月 30 日完成 Android RCE 利用程序，8 月 2 日完成 iOS 利用程序，8 月 11 日完成完整蠕虫演示。腾讯于 8 月 21 日发布修补版应用，并于 8 月 28 日确认服务端缓解措施已到位。

用户应采取的措施

立即将微信更新至 Android 8.0.77 或 iOS 8.0.76 及更高版本。服务端修复意味着 WeWorm 特定漏洞已被拦截，但更新应用可关闭任何残余的客户端风险。检查您的微信联系人列表，删除陌生联系人。对来自已知联系人的意外来电保持警惕——这可能是被入侵账户试图进一步传播的信号。

参考链接：

https://calif.io/research/weworm

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《WeWorm：首个通过iOS和Android微信通话传播的零点击蠕虫病毒》