Концептуален червей от тип нулев ден (0-click), наречен „WeWorm“, може да се разпространява чрез гласови обаждания във WeChat както за iOS, така и за Android, компрометирайки акаунта на мишената за секунди, без жертвата да отговаря на обаждането.

От Calif заявяват, че грешката е била докладвана на Tencent през юли и оттогава Tencent е отстранила уязвимостта за потребителите, но изследването все пак служи като сериозно предупреждение за това как мобилните приложения за съобщения могат да се превърнат в повърхности за атака с възможност за разпространение на червеи в глобален мащаб.

WeChat не е нишова цел. От Tencent съобщават, че Weixin и WeChat заедно са надхвърлили 1.4 милиарда активни потребители месечно към края на Q1 2026, докато собственият уебсайт на WeChat описва платформата като обслужваща над 1 милиард потребители с чатове и обаждания през основните мобилни и десктоп платформи.

Именно този мащаб прави демонстрацията на Calif толкова тревожна: дефектът с повреждане на паметта във VoIP стека на приложението не е просто поредната грешка в съобщенията, а потенциална входна точка към една от най-дълбоко внедрените комуникационни екосистеми в света.

Според публичния списък с изследвания на Calif, WeWorm е описан като „първият червей от тип zero-click, който се разпространява чрез обаждания във WeChat за iOS и Android“, и е публикуван на September 8, 2026 като част от изследователската работа на компанията, свързана с Android.

Calif определя констатацията не като теоретичен частен случай, а като реална демонстрация на това как доверена комуникационна връзка може да бъде използвана като оръжие, като един компрометиран контакт се превръща в стартова точка за атаки срещу всички в социалния граф на това лице.

Според информациите демонстрационната верига на компанията е използвала три телефона, за да докаже кросплатформеното разпространение. Смартфон Pixel 10a е използван като първоначално устройство на атакуващия, което след това се обажда на iPhone 17e и експлоатира уязвимостта, докато телефонът все още звъни; след това компрометираният iPhone е използван за обаждане на друг Pixel 10a, който по същия начин е бил поет под контрол.

В практически план това е класическото определение за уязвимост с възможност за разпространение на червей в комуникационно приложение: атакуващият се обажда на жертвата, жертвата се превръща в атакуващ, а пътят на инфекцията продължава почти без никакви пречки.

Това, което прави сценария особено опасен, е аспектът „zero-click“. От Calif посочват, че жертвата не трябва да отговаря на обаждането или да взаимодейства с телефона по какъвто и да е начин, за да успее експлоатацията, и дори човекът да отговори, не чува нищо, докато компрометирането се извършва.

Това твърдение поставя WeWorm в най-страховития клас мобилни експлойти, при които обичайната предпазливост на потребителя осигурява слаба защита, тъй като няма зловредна връзка за избягване и няма прикачен файл за отказване.

Calif допълва, че експлоатацията осигурява пълен контрол върху WeChat акаунта на жертвата, включително възможност за четене и изпращане на съобщения, извършване на обаждания и извършване на действия от името на потребителя в приложението.

Само по себе си завземането на акаунт на такова ниво вече би било сериозно по отношение на злоупотреба с самоличност, следене, измами и последващо насочване на атаки; в комбинация с допълнителни грешки на ниво устройство от Calif заявяват, че същият достъп би могъл да бъде разширен до пълен контрол върху основното Android или iOS устройство.

Компанията конкретно свързва тази възможност с по-широкото си изследване на експлойти с помощта на изкуствен интелект, включително работа по Android като OEMpocalypse, която е представена като път от достъп на ниво приложение до root достъп в екосистемите на няколко производителя.

Едно условие леко стеснява повърхността за атака: атакуващият трябва вече да е в списъка с приятели на жертвата. Но от Calif аргументират, че това е слаба бариера в реални условия, тъй като след като един доверен контакт бъде компрометиран, акаунтът на този човек може да се използва за достигане до още приятели, превръщайки мрежата от социално доверие на жертвата в слой за разпространение на червея.

Това е познат и обезпокоителен модел в съвременната сигурност на комуникациите, при който функции за сигурност и предположения за доверие, проектирани за удобство, могат да се превърнат в съществен фактор за улесняване на атаката, след като противникът получи първоначална позиция.

Техническата първопричина, според Calif, е грешка с повреждане на паметта във VoIP стека на WeChat, въпреки че компанията спестява пълните подробности за експлойта до последващо представяне на конференция.

Това сдържане е от значение, тъй като уязвимостите от тип повреждане на паметта в кода за комуникация в реално време са сред най-чувствителните класове грешки в мобилната сигурност, особено когато се намират в пътищата за обработка на обаждания, които обработват мрежови данни, преди потребителят да предприеме каквото и да е действие.

Calif допълнително подсказва, че тази грешка е само един пример от по-широк клас „неконвенционални повърхности за атака“, разпространени в приложенията за съобщения, загатвайки, че подобни проблеми могат да съществуват и в други платформи с богати възможности за обаждания и медия.

WeWorm може и да е демонстрация, но значението му е съвсем реално. От Calif ефективно показаха, че червеите в мобилните приложения за съобщения вече не са далечен кошмар или сюжет за конферентни презентации; те са практически резултат от изследвания през 2026 г., изграден срещу една от най-големите комуникационни платформи в света и разработен със скоростта на изкуствения интелект.