WeWorm prende il controllo di WeChat con una chiamata zero-click su iPhone e Android

🛡️ Executive Summary

• Calif ha costruito WeWorm, worm dimostrativo capace di prendere un account WeChat attraverso una semplice chiamata in arrivo.
• La vittima non deve rispondere né toccare il telefono, ma il chiamante deve essere già presente tra i contatti WeChat.
• Tencent ha mitigato il problema lato client e server; non risultano attacchi reali, CVE pubbliche o dettagli tecnici sufficienti per riprodurre l’exploit.

Una chiamata WeChat ricevuta da un contatto compromesso può essere sufficiente a perdere il controllo dell’account, senza rispondere e senza toccare il telefono. È quanto dimostra WeWorm, proof of concept realizzato dalla società di sicurezza Calif sfruttando una vulnerabilità di corruzione della memoria nello stack VoIP di WeChat. Il worm è stato mostrato in azione su iPhone e Android e può propagarsi da un account compromesso ai suoi contatti chiamandoli automaticamente. Tencent è stata informata a luglio e ha successivamente bloccato l’exploit anche lato server. Non esistono al momento evidenze di sfruttamento criminale, e i ricercatori stanno trattenendo i dettagli tecnici della falla.

Una chiamata in arrivo basta ad attivare la vulnerabilità

La ricerca originale pubblicata da Calif descrive WeWorm come il primo worm zero-click dimostrato capace di propagarsi attraverso le chiamate WeChat su iOS e Android. Il bug è una memory corruption nello stack VoIP dell’applicazione, ma Calif non ha ancora pubblicato il componente preciso vulnerabile né la primitiva utilizzata per ottenere esecuzione. Il comportamento osservabile è però chiaro: il telefono della vittima riceve una chiamata da un account già presente tra i contatti e l’exploit parte mentre il dispositivo sta ancora squillando. Rispondere non impedisce l’attacco: secondo i ricercatori, l’utente sente semplicemente silenzio mentre la compromissione continua. Rifiutare la chiamata interrompe invece quel singolo tentativo, ma non impedisce al chiamante di riprovare successivamente.

Il meccanismo porta il concetto zero-click ancora più vicino a una superficie quotidiana. Matrice Digitale aveva già documentato attacchi WhatsApp capaci di compromettere account senza interazione della vittima, ma WeWorm aggiunge un elemento ulteriore: la vulnerabilità non viene soltanto utilizzata per compromettere un bersaglio, ma diventa il motore di propagazione automatica verso la rete sociale della vittima.

Leggi anche: Pegasus torna con un exploit zero-click iMessage contro un attivista serbo

Il requisito del contatto diventa il meccanismo stesso di propagazione

WeWorm non può chiamare indistintamente qualsiasi account WeChat: il mittente deve già essere presente nella lista contatti della vittima. A prima vista questo requisito limita fortemente l’exploit. In un worm, però, la relazione di fiducia diventa esattamente ciò che permette l’espansione. Una volta compromesso il primo account, l’attaccante può utilizzare quell’identità reale per telefonare ai contatti già autorizzati, prendere il controllo del secondo account e ripetere il processo. Calif ha mostrato una catena con tre dispositivi: un Android compromette un iPhone, quindi l’iPhone appena preso sotto controllo chiama un secondo Android e lo compromette a sua volta. È una proprietà particolarmente pericolosa delle super-app basate su grafo sociale. Il controllo del primo account fornisce immediatamente una lista di bersagli che considerano legittimo il chiamante, eliminando uno dei problemi tipici delle campagne massive: convincere la vittima a fidarsi di un mittente sconosciuto. Lo stesso principio è alla base di molte frodi successive ai takeover WhatsApp, nelle quali un account reale viene usato per chiedere denaro ai familiari o ai contatti. WeWorm automatizza però la fase precedente: invece di sfruttare la fiducia per il social engineering, la sfrutta per raggiungere direttamente la superficie vulnerabile dell’applicazione.

Il worm prende l’account WeChat ma non necessariamente l’intero telefono

La distinzione tecnica più importante riguarda l’impatto. Calif afferma che una compromissione riuscita consente controllo completo dell’account WeChat, compresa la capacità di leggere e inviare messaggi, fare chiamate e operare come proprietario dell’account. Non significa però, sulla base delle informazioni pubblicate, che l’exploit fornisca automaticamente controllo completo del sistema operativo o di tutte le altre applicazioni presenti sul telefono. Questo limite non riduce comunque la gravità. WeChat non è una semplice applicazione di messaggistica: combina comunicazioni, pagamenti, account ufficiali, mini program e servizi quotidiani, con un totale combinato di circa 1,439 miliardi di utenti mensili WeChat e Weixin al 30 giugno 2026 secondo i risultati trimestrali Tencent richiamati nella ricostruzione disponibile. Un takeover dell’account può quindi esporre una superficie economica e sociale molto più ampia di quella di una chat tradizionale.

Tencent ha corretto il problema prima della pubblicazione

Calif indica di avere scoperto il bug attraverso strumenti AI nel luglio 2026. Il team ingegneristico ne è venuto formalmente a conoscenza il 23 luglio, ha completato il primo exploit Android il 30 luglio e la dimostrazione worm l’11 agosto. Tencent ha quindi distribuito WeChat 8.0.77 per Android e 8.0.76 per iOS il 21 agosto, versioni che secondo Calif mitigavano il problema. Il 28 agosto i ricercatori hanno inoltre verificato che il vettore fosse stato bloccato anche attraverso controlli lato server. Quest’ultimo passaggio è particolarmente importante perché significa che la protezione non dipende esclusivamente dall’aggiornamento volontario di ogni dispositivo. Calif afferma che Tencent ha mitigato l’exploit per tutti gli utenti attraverso la propria infrastruttura. Aggiornare l’app rimane comunque la scelta prudente, perché le versioni recenti includono anche le correzioni client e riducono l’esposizione ad altri bug non necessariamente coperti da una mitigazione server.

Nessuna CVE e nessun exploit pubblico

Al momento della pubblicazione non esiste una CVE pubblica associata alla vulnerabilità e Tencent non ha rilasciato un advisory tecnico che descriva il bug. Le normali note della versione iOS 8.0.76 parlano genericamente di correzioni, senza citare una vulnerabilità zero-click nelle chiamate. Calif sta inoltre trattenendo intenzionalmente i dettagli della corruzione della memoria e prevede di presentarli successivamente in una conferenza. Questa assenza impedisce per ora di stabilire quali release precedenti fossero effettivamente vulnerabili, quale componente del protocollo VoIP fosse raggiungibile dall’attaccante e se la catena richiedesse ulteriori primitive per superare sandbox o mitigazioni specifiche di iOS e Android. Non esistono quindi indicatori pubblici che consentano a un utente di verificare retroattivamente se una chiamata ricevuta a luglio o agosto abbia tentato lo sfruttamento.

Non ci sono prove di attacchi reali

Anche la portata dell’incidente va mantenuta distinta dalla potenzialità teorica. Calif parla di una vulnerabilità che, se sfruttata, potrebbe avere conseguenze enormi su una piattaforma con oltre un miliardo di utenti, ma non afferma di avere osservato una campagna reale. The Hacker News conferma che non risultano attacchi documentati attraverso questa falla. La dimostrazione pubblica coinvolge dispositivi controllati dai ricercatori. È quindi improprio descrivere WeWorm come malware che abbia già “infettato un miliardo di telefoni”. È un worm proof of concept funzionante, costruito su una vulnerabilità reale e capace di mostrare una propagazione automatica, ma corretto prima della divulgazione pubblica. La distinzione è la stessa necessaria per le vulnerabilità zero-click individuate nei protocolli AirDrop e Quick Share: dimostrare che un vettore è sfruttabile non significa dimostrare che sia già stato utilizzato criminalmente.

WeChat possiede già una superficie di sicurezza difficile da auditare

La scoperta arriva in un contesto nel quale il modello di sicurezza di WeChat è già stato oggetto di analisi indipendenti. Nel 2024 Citizen Lab ha studiato MMTLS, protocollo proprietario utilizzato dall’applicazione per gran parte del traffico, individuando scelte crittografiche considerate più deboli rispetto a implementazioni standard di TLS 1.3, pur senza dimostrare una compromissione completa della cifratura. Nel frattempo anche l’ecosistema dei mini program continua a mostrare una superficie molto ampia: uno studio NDSS ha analizzato oltre 4,5 milioni di miniapp WeChat identificandone quasi 19.905 come malevole, mentre una ricerca USENIX 2026 ha individuato problemi di controllo dei permessi nelle API dei mini-programmi. WeWorm non deriva da questi problemi e non va confuso con essi, ma rafforza la stessa conclusione strutturale: una super-app che combina comunicazioni, pagamenti, miniapp, chiamate e servizi di identità concentra molte superfici ad alto impatto nello stesso processo applicativo.

Continua con:

• Apple avvisa utenti in 110 Paesi per nuovi attacchi spyware mercenari
• Landfall sfrutta un’immagine DNG per colpire smartphone Samsung senza clic

Il rischio vero è quando una vulnerabilità zero-click incontra il grafo sociale

WeWorm mostra una proprietà che rende le vulnerabilità nelle app di messaggistica diverse dalle normali RCE di rete. L’applicazione conosce già chi si fida di chi. Se un exploit riesce a trasformare ogni account compromesso in un nuovo mittente autorizzato, il grafo sociale diventa un’infrastruttura di propagazione. L’attaccante non deve scansionare indirizzi IP o costruire liste di numeri: ogni vittima consegna automaticamente una nuova serie di contatti credibili. Tencent ha bloccato questo specifico vettore e non risultano campagne reali, ma la dimostrazione di Calif resta significativa perché sposta il modello worm nel mondo delle super-app mobili. Gli attacchi zero-click normalmente evocano operazioni mirate con spyware estremamente costosi. WeWorm dimostra invece che una singola vulnerabilità nella gestione delle chiamate può teoricamente trasformare una piattaforma da oltre un miliardo di utenti in una rete capace di propagare automaticamente il takeover da contatto a contatto. Ed è precisamente questa combinazione tra memoria corrotta, fiducia sociale e automazione a rendere il caso più importante della singola falla appena corretta.