文章总结： 微信曝出首款跨安卓与iOS的零点击蠕虫Worm，利用VoIP协议栈内存损坏漏洞实现无感入侵，可劫持账号并链式扩散，影响超十亿用户。攻击需好友关系，AI大幅降低攻击门槛。腾讯已修复，建议用户更新版本并警惕陌生好友。 综合评分： 85 文章分类： 漏洞分析,应急响应,移动安全,恶意软件,威胁情报

零点击入侵！新型微信蠕虫可盗号扩散，无需接打电话（已被修复）

看雪学苑 看雪学苑

看雪学苑

2026年9月9日 17:59 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年9月8日，海外安全研究机构Calif Research对外披露重磅安全漏洞，公布首款可跨安卓、iOS双平台传播的微信零点击蠕虫病毒WeWorm。该漏洞依托微信通话功能实现无感入侵，无需用户接听、触碰手机即可劫持账号，具备链式扩散能力，威胁超十亿微信用户，目前腾讯已完成全量漏洞修复。

一、核心攻击原理：全程零交互，来电即沦陷

本次曝光的WeWorm蠕虫，利用微信VoIP通话协议栈存在的内存损坏漏洞实现远程代码执行（RCE），是移动端社交软件首例依托通话场景的零点击蠕虫攻击。

整个入侵过程无需用户任何操作，攻击门槛极低、隐蔽性极强：

• 无需接听：手机处于来电响铃状态时，漏洞即可被触发，几秒内完成账号接管；即便用户接听通话，也听不到任何声音，入侵依旧成功。
• 无法彻底规避：手动挂断仅能拦截单次攻击，攻击者可反复发起呼叫，伺机入侵（如用户睡眠时段）。
• 权限完全接管：入侵成功后，攻击者可全权操控受害者微信，收发消息、拨打语音视频通话、冒用账号开展各类操作。

更危险的是，该蠕虫具备链式传播特性。被劫持的微信账号会自动向通讯录好友发起通话攻击，实现“一机沦陷、批量扩散”，形成持续性病毒传播链路。若结合安卓、iOS系统其他漏洞利用，攻击者可进一步获取手机整机的最高控制权限。

二、攻击限制与绕过方式

该攻击存在唯一前置条件：攻击者需在受害者微信好友列表中。但这一限制几乎无法起到防护作用，安全研究团队证实，攻击者可先入侵用户身边好友的微信账号，再借助信任关系对目标用户发起攻击。

微信针对好友开放更高权限的安全机制，本是提升用户使用体验的设计，却在漏洞加持下，成为黑客横向渗透、批量盗号的突破口。

三、AI大幅降低高级攻击门槛

本次漏洞的曝光，也揭露了当下网络安全领域的全新风险趋势：AI正在大幅降低高阶网络攻击的技术门槛。

据Calif Research披露，以往这类可大规模传播的蠕虫病毒，需要专业安全团队耗费数月时间研发打磨。而本次研究团队借助AI工具，仅用2天就发现漏洞并编写远程代码执行漏洞利用程序，1周内完成完整蠕虫演示版本开发。

这意味着，原本仅资金雄厚的专业黑客组织掌握的高阶攻击能力，如今普通技术人员也可借助AI实现，普通网民面临的网络安全风险迎来前所未有的升级。

四、漏洞修复进展与时间线

该漏洞由研究团队于2026年7月发现，第一时间向腾讯官方提交漏洞报告，全程公开透明且配合厂商修复，完整时间线如下：

• 7月下旬：AI检测发现微信VoIP协议栈高危漏洞，团队完成漏洞验证并提交腾讯
• 8月21日：腾讯推送微信新版本，安卓8.0.77、iOS 8.0.76客户端率先修复漏洞
• 8月28日：腾讯完成服务端全量防护升级，所有用户漏洞风险彻底解除
• 9月8日：研究团队公开漏洞研究成果，同步接受《纽约时报》报道

目前，暂无公开证据显示该漏洞已被黑客非法利用，全网用户已处于安全防护状态。研究团队暂未公开漏洞核心技术细节，计划在后续安全行业峰会发布完整分析报告，同时持续调研各类社交软件同类漏洞，推动行业安全升级。

五、行业启示与用户建议

本次WeWorm蠕虫事件，暴露了主流社交APP通话模块存在的非常规攻击面，也印证了AI技术对网络安全攻防格局的重塑。研究团队表示，封堵单一漏洞无法根治风险，未来需要中美等多国政府、科技企业联动，依托AI技术强化安全防御，实现攻防能力同步升级。

普通用户防护建议：及时将微信更新至最新官方版本，谨慎添加陌生好友，定期检查微信登录设备，规避潜在账号风险。

资讯来源：Calif.io 安全研究团队、公开安全漏洞披露资料

球分享

球点赞

球在看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：看雪学苑 看雪学苑 看雪学苑《零点击入侵！新型微信蠕虫可盗号扩散，无需接打电话（已被修复）》