微信被曝出史诗级漏洞

寂静回声

2026年9月8日，美国安全研究公司Calif公开披露微信存在零点击蠕虫漏洞WeWorm，漏洞存在于微信语音通话协议栈，可在用户无任何操作的情况下劫持微信账号并跨平台自动传播，目前腾讯已完成全量修复，暂无在野利用记录。
漏洞核心特征
漏洞根源​：问题出在微信自研语音通话(VoIP)协议栈，属于内存破坏类软件缺陷，具体触发细节尚未公开，研究团队计划在后续行业会议上公布完整分析
零点击攻击​：攻击在通话响铃阶段即可完成，受害者无需接听电话、点击链接或进行任何操作，数秒内即可被接管账号；即便在响铃几秒内拒接可暂时阻止攻击，攻击者可选择在用户熟睡等时段再次尝试。

作者：绅士喵
链接：https://www.zhihu.com/question/2 ... 2081469755433788508
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

利用此漏洞只需几秒钟，即可让我们完全控制微信账号。我们可以读取和发送消息、拨打电话，并以受害者的名义进行操作。如果结合我们已报告并正在协助修复的其他安卓和iOS漏洞，则可能导致对设备的完全控制。受害者无需接听电话，也无需操作手机。即使接听了，也听不到任何声音，攻击依然成功。拒接电话可以阻止此次攻击，但攻击者可以稍后再次尝试，例如趁受害者睡觉时。这种漏洞利用需要攻击者位于受害者的好友列表中。
但这并非什么障碍：攻击者可以先入侵你的某个好友的账号，然后利用他们的账号联系你。
微信和许多其他即时通讯应用一样，会赋予信任联系人更多权限。但一旦某个联系人的权限被泄露，这种信任就会对你不利。
老练的攻击者有很多方法可以做到这一点。他们可以利用其他应用程序，使用类似OEMpocalypse中的技术获取 root 权限，控制受害者的微信应用程序，并用它来攻击你。借助人工智能技术，我们的团队找到了漏洞，并在大约两天内编写了第一个远程代码执行（RCE）漏洞利用程序。
构建蠕虫程序又花了一周时间。过去，开发这种规模的蠕虫病毒需要一支更大的团队花费数月时间。
如今，人工智能已经可以完成大部分工作。我们的团队负责判断攻击目标以及如何安全地进行测试。我们公布研究结果旨在提高公众意识。这些能力长期以来一直掌握在资金雄厚、技术精湛的机构手中。
如今的不同之处在于，人工智能正将这些能力交到技能较弱的机构手中，使普通用户面临前所未有的风险。一次实验室事故，或者有人拿到半成品，就可能在人们毫无防备的情况下，将类似WeWorm的病毒释放到全世界。
WannaCry就是这样传播开来的，早期泄露的工具甚至袭击了医院。人们很容易将矛头指向人工智能，并试图限制其进一步发展。我们认为这是错误的。漏洞早已存在。人工智能改变的是，我们可以更快地发现并修复这些漏洞。
我们相信，好人多于坏人，如果他们足够重视，人工智能会让好人占据上风。我们已于7月向腾讯报告了微信漏洞。截至今日，腾讯已为所有用户修复了该漏洞。我们衷心感谢腾讯的鼎力合作。我们希望这项工作能展现我们携手合作所能取得的成就。
它呼吁美国、中国和其他国家政府携手合作，与私营企业共同开发和部署人工智能，使世界更加安全。漏洞该漏洞是微信 VoIP 协议栈中的内存损坏问题。目前我们暂不透露技术细节，计划在即将召开的会议上公布完整的分析结果。
这个微信漏洞只是众多非常规攻击面中的一个例子，这类攻击面在许多即时通讯应用中普遍存在。我们正在其他应用和攻击面方面开展更多研究，同时与应用开发者合作，致力于减少攻击面。这可能需要整个行业的共同努力，因为部分工作取决于平台所有者。一旦这项工作取得进一步进展，我们将分享我们的成果，包括这个微信漏洞的技术细节。

跨平台蠕虫传播​：漏洞同时影响iOS和安卓双平台，被攻陷的账号会自动读取好友列表，以受害者身份向所有好友发起攻击，形成链式扩散，理论上可实现指数级增长；仅需攻击者位于受害者好友列表即可发起，而已攻陷账号可轻松突破这一限制。
潜在危害​：成功利用后攻击者可直接读取聊天记录、发送消息、完全控制微信账号，即便无法直接控制整个手机，也足以造成隐私泄露和精准诈骗风险，结合其他系统漏洞可进一步实现手机全控制。

不需要预先在你设备安插任何东西，打个微信语音就能感染你。算得上一种远程攻击漏洞了。据说在 Android 8.0.77、iOS 8.0.76 修复了。但是很显然，微信不会告诉你任何东西。