WeChatにゼロクリック型ワームの脆弱性、新たなセキュリティ勧告で判明

Calif社の研究者らが、WeChat向けとしては初となるゼロクリック型ワームを開発しました。このWeChatゼロクリック型ワームは、iOSとAndroidの両プラットフォームにまたがり、自動化された通話を通じて拡散します。Tencentはすでにサーバー側でこの重大な脅威への対策を講じています。

この脅威が重要な理由

WeChatは全世界で10億人を超えるユーザーを抱えています。そのため、WeChatゼロクリック型ワームはデジタルコミュニティ全体に甚大なリスクをもたらします。攻撃者はアカウントを乗っ取り、電話から電話へと感染を広げることが可能になります。Calif社の研究者は「悪用された場合、攻撃者は10億台を超える端末(あるいはアカウント)を侵害しうる。それは生活を脅かし、世界中のコミュニティを破壊しかねない」と述べています。さらに、攻撃者はメッセージを読み取ったり、通話を発信したり、侵害した端末を完全に制御したりすることも可能です。

攻撃の仕組み

この脆弱性は、メモリ破損の問題に起因しています。このバグはWeChatのVoIPスタックに存在します。そのため、攻撃者は被害者に音声通話を発信するだけで攻撃を仕掛けられます。エクスプロイトは、電話がまだ呼び出し中の状態でトリガーされます。被害者が通話に応答する必要は一切ありません。ただし、通話を拒否しても攻撃が遅延するだけです。実際、攻撃者は単に後で再度試みることができます。また、侵害済みの友人のアカウントを利用して、信頼の壁を回避することも可能です。Califは、その手法の詳細をWeWormレポートで公表しています。

影響を受けるバージョン

このエクスプロイトは、iOS・Android双方のWeChatアプリに影響します。具体的には、Android 8.0.77より前のバージョンが脆弱です。同様に、iOSでは8.0.76より前のバージョンにこの欠陥が存在します。さらに、研究者らはAIの支援を活用してこのワームを構築し、わずか2日でリモートコード実行(RCE)を達成しました。

パッチと緩和策

Tencentは、2026年7月にバグ報告を受け取った後、迅速に対応しました。最終的に、同社は全ユーザーを対象にサーバー側でエクスプロイトへの対策を講じました。続いて、パッチ適用済みのアプリアップデートをリリースしています。ユーザーはAndroidバージョン8.0.77以降へのアップデートが必要です。iOSユーザーはバージョン8.0.76以降が必要になります。現時点では、研究者らは実環境における悪用の確認例はないと報告しています。なお、非公開の概念実証(PoC)はCalif社が保有しています。