Calif 發佈 WeWorm 示範，展示 WeChat 零點擊蠕蟲跨 iOS、Android 傳播

在 Calif，我們的使命是偶爾拆開互聯網，以維繫互聯網的整體運作。我們相信每個人都值得擁有安全可靠的互聯網，包括無法保護自己的人。

今天，我們發布 WeWorm 示範。這是首個透過 WeChat 通話在 iOS 和 Android 上傳播的零點擊蠕蟲。這是探索流動通訊應用程式零點擊攻擊面的系列文章的第一篇。

WeChat 是一款「萬能應用程式」，幾乎所有中國人和世界各地的華人社羣都在使用。只要致電受害者，WeWorm 便可劫持其帳戶，再致電其好友，從一部手機傳播至另一部。如果遭到利用，攻擊者便可控制超過十億部手機（或帳戶），顛覆人們的生計，並破壞世界各地的社羣。

我們用三部手機製作了一個蠕蟲示範：

第一部 Android 手機是 Pixel 10a，由攻擊者使用。我們用它致電第二部手機 iPhone 17e，並利用漏洞在電話仍響鈴時接管其 WeChat。然後，我們用遭入侵的 iPhone 致電第三部手機，即另一部 Pixel 10a，並以同樣方式接管該手機。攻擊者致電受害者，受害者變成攻擊者，再致電下一名受害者。

你也可以觀看個別的 Android 和 iOS RCE 示範。

利用漏洞只需數秒，便可完全控制 WeChat 帳戶。我們可以讀取及發送訊息、撥打電話，並代受害者行事。若與我們已報告並正協助修補的其他 Android 和 iOS 漏洞串連利用，便可能完全控制裝置。

受害者無須接聽電話，甚至完全無須操作手機。即使接聽，他們也聽不到任何聲音，而漏洞利用仍會成功。拒接來電可阻止該次攻擊，但攻擊者只需稍後再試，例如趁受害者熟睡時。

這種漏洞利用要求攻擊者在受害者的好友名單上。但這並不是甚麼大障礙：攻擊者可以先入侵你的一位好友，再利用對方的帳戶聯絡你。

和許多通訊應用程式一樣，WeChat 會給予可信任的聯絡人較多權限。但一旦有聯絡人遭入侵，這份信任便會反過來對你不利。

高明的攻擊者有很多方法可以做到這一點。他們可以利用另一個應用程式的漏洞，使用 OEMpocalypse 中的技術取得 root 權限，接管受害者的 WeChat 應用程式，再利用它攻擊你。

在 AI 協助下，我們的團隊找出漏洞，並在約兩日內編寫出首個遠端程式碼執行（RCE）漏洞利用程式。再花一週便完成蠕蟲。

過去，要製作具備這種傳播規模的蠕蟲，往往需要更大的團隊花上數月時間。AI 現在已能完成這項工作的大部分。我們的團隊則負責判斷應以甚麼為目標，以及如何安全地進行測試。

我們發布調查結果，旨在提高公眾意識。資金充裕、技術高明的攻擊者早已掌握這些能力。如今的不同之處在於，AI 正把這些能力交到技術較不熟練的攻擊者手中，令一般用戶面臨前所未有的風險。

只需一次實驗室意外，或有人拿走尚未完成的版本，就可能在所有人未有準備之前，將 WeWorm 之類的東西釋放到世界上。WannaCry 當年便是以這種方式流出的：相關工具提早外流，並攻擊了醫院。

最直觀的反應是怪罪 AI，並試圖限制 AI 進一步發展。我們認為這是錯誤的教訓。這些漏洞早已存在。AI 帶來的改變，是讓我們能夠快速找出並修復漏洞。我們相信好人比壞人多；只要保持警覺，AI 就能讓好人佔上風。

我們在 7 月向 Tencent 通報了 WeChat 漏洞。截至今天，Tencent 已為所有用戶採取措施，防範我們利用該漏洞。我們感謝 Tencent 與我們成功合作。

我們希望這項工作能展示我們攜手合作可以取得的成果。這呼籲美國、中國及其他政府與私營企業合作，開發和部署 AI，讓所有人都更安全。

漏洞

這是 WeChat VoIP 堆疊中的記憶體損毀問題。我們暫不公開技術細節，並計劃在即將舉行的會議上發表完整分析。

這個 WeChat 漏洞只是許多通訊應用程式中存在的各種非傳統攻擊面之一。我們正針對其他應用程式和攻擊面進行更多研究，同時與應用程式開發者合作，縮減攻擊面。由於其中部分工作有賴平台持有人，這可能需要整個業界共同努力。待這項工作取得進一步進展後，我們會分享成果，包括這個 WeChat 漏洞的技術細節。

披露時間線

• 2026 年 7 月某日：我們的 AI 發現該漏洞。
• 7 月 23 日：我們的工程團隊得知該漏洞。
• 7 月 24 日：我們向 Tencent 通報該漏洞。
• 7 月 25-28 日：我們的 WeChat 帳戶被封鎖。
• 7 月 29 日：我們的 WeChat 帳戶解封。
• 7 月 30 日：我們完成首個 Android RCE 漏洞利用程式。
• 8 月 2 日：我們完成 iOS RCE 漏洞利用程式。
• 8 月 11 日：我們完成了可在 Android 和 iOS 上運行的完善版蠕蟲示範。
• 8 月 21 日：Tencent 發佈 Android 8.0.77 和 iOS 8.0.76，以緩解該漏洞。
• 8 月 26 日：Tencent 通知我們，他們正在評估此問題。
• 8 月 28 日：我們確認伺服器端已為所有用戶緩解我們的漏洞利用攻擊。
• 9 月 3 日：我們向 Tencent 分享了技術分析和可運作的漏洞利用程式。
• 9 月 4 日：Tencent 確認該漏洞可被利用來執行遠端命令。
• 9 月 8 日：我們發表本文，並同步刊出The New York Times的相關報道。
• 9 月 11 日：The New York Times發表後續分析，探討 WeWorm 及其對中國的影響。