研究人员公布了一个名为“WeWorm”的概念验证0Click蠕虫，据称它可以通过微信语音通话在iOS和Android设备之间传播，在受害者未接听来电的情况下，数秒内即可控制其微信账号。
Calif表示，该漏洞已于7月报告给腾讯，腾讯此后已为用户修复了该漏洞，但这项研究仍然是一记警钟：移动即时通讯应用如何成为全球规模的蠕虫式攻击面。
微信并非小众目标。腾讯表示，截至2026年第一季度末，微信和WeChat的月活跃用户合计已超过14亿，而微信官网则称该平台为超过10亿用户提供跨主流移动和桌面平台的聊天与通话服务。
正是这种庞大的覆盖面让Calif的演示格外令人警觉：该应用VoIP协议栈中的内存破坏漏洞不仅仅是又一个通讯类漏洞，而是进入全球最深度嵌入的通信生态系统之一的潜在入口。
根据Calif的公开研究列表，WeWorm被描述为“首个通过微信通话在iOS和Android间传播的0Click蠕虫”，于2026年9月8日发布，归属于该公司Android标签下的研究工作。
Calif将这一发现定位为一次实战演示，而非理论上的边缘案例——它展示了信任通讯关系如何被武器化：一个被攻陷的联系人成为攻击起点，进而威胁其社交图谱中的每一个人。
Part01
三台手机完成跨平台传播
据称，该公司的演示链条使用了三部手机来证明跨平台传播能力。一台Pixel10a作为初始攻击设备，向一台iPhone17e发起通话，并在来电振铃期间利用漏洞完成攻击；随后，这台被攻陷的iPhone又被用于呼叫另一台Pixel10a，后者据称以同样的方式被控制。
从实际角度看，这正是通讯应用中“蠕虫化条件”的教科书式定义：攻击者呼叫受害者，受害者变成新的攻击者，感染路径几乎毫无阻力地持续蔓延。
Part02
“零点击”：无需任何用户交互
让这一场景格外危险的是其“零点击”特性。Calif表示，受害者完全不需要接听电话或与手机进行任何交互，攻击即可成功；即使受害者确实接听了电话，也听不到任何异常，而攻击依然照常完成。
这一说法将WeWorm归入了移动漏洞利用中最令人恐惧的类别。在这种攻击面前，用户正常的谨慎几乎无法提供保护，因为没有恶意链接需要避开，也没有附件需要拒绝。
Part03
账户接管与潜在设备级控制
Calif还表示，利用该漏洞可获得受害者微信账号的完全控制权，包括读取和发送消息、拨打电话，以及在应用内以用户身份进行操作。
仅凭这一级别的账户接管，就已经足以造成严重的身份滥用、监控、欺诈和横向攻击；Calif表示，如果与额外的设备级漏洞串联利用，同样的访问权限还可以扩展为对底层Android或iOS设备的完全控制。
该公司明确将这种可能性与其更广泛的AI辅助漏洞利用研究联系起来，其中包括Android方面的研究工作，例如OEMpocalypse，该研究被描述为一条从应用级访问权限到多个厂商生态系统中获取root权限的路径。
Part04
攻击面限制与信任模型反思
有一个条件略微缩小了攻击面：攻击者必须已经在受害者的好友列表中。但Calif认为，在现实环境中这是一道脆弱的屏障，一旦有一个可信联系人被攻陷，攻击者就可以利用该账号接触更多好友，将受害者的社交信任网络变成蠕虫的传播层。
这是现代通信安全中一个熟悉而令人不安的模式：为便利而设计的安全机制和信任假设，一旦攻击者获得初始立足点，就可能变成攻击的倍增器。
Calif表示，技术层面的根本原因是微信VoIP协议栈中的内存破坏漏洞，不过该公司将推迟到之后的会议演讲中才披露完整的漏洞利用细节。
这种保留是有道理的：实时通信代码中的内存破坏漏洞是移动安全领域最敏感的漏洞类别之一，尤其是当它们位于呼叫处理路径中，在用户采取任何操作之前就会处理网络数据。
Calif进一步指出，这个漏洞只是广泛分布于即时通讯应用中的“非常规攻击面”的一个例子，暗示其他具有丰富通话和媒体功能的平台可能存在类似问题。
WeWorm也许只是一个演示，但其意义是真实的。Calif实际上已经证明，移动通讯蠕虫不再是遥远的噩梦，也不再只是会议演讲中的情节设定——它们是2026年切实可行的研究成果，针对的是全球最大的通信平台之一，并以AI速度开发完成。
参考来源：
WeWorm – First 0-Click Worm Spreading Through WeChat Calls Across iOS and Android
https://cybersecuritynews.com/weworm-first-0-click-worm/