WeChat、着信のみでアカウントを奪う脆弱性が判明　連絡先経由で拡散するワームも実証

要点

• セキュリティ企業Califが、WeChatの着信を通じてアカウントを乗っ取るゼロクリック脆弱性を発見した。

• 攻撃対象が応答しなくてもアカウントが制御され、連絡先を介して連鎖的に感染を広げるワームが実証された。

• 運営元のTencentは報告を受けてサーバー側の遮断とアプリ更新を実施しており、悪用はすでに防がれている。

• 本脆弱性を悪用した実際の被害は報告されていない。

• セキュリティ企業のCalifは、メッセージングアプリ「WeChat」において、音声通話の着信だけでアカウントの制御権を奪うことができる脆弱性を発見したと発表した。標的となったユーザーが通話に応答しなくてもアカウントが乗っ取られ、連絡先リストを通じて次々と別の端末へ感染を広げるワームの動作も実験環境で実証されたという。Califからの報告を受けたTencent（騰訊）はすでに対策を実施しており、サーバー側の遮断およびアプリアップデートによって攻撃は阻止されている。

操作不要でアカウントを掌握する「ゼロクリック」の脅威

Califの報告によると、今回実証された手法は、ユーザーが画面に触れたり通話に出たりする必要がない「ゼロクリック攻撃（被害者の操作を一切必要としないサイバー攻撃の手法）」に分類される。

攻撃を成立させる前提条件として、発信者が標的のWeChat連絡先リストに含まれている必要がある。着信に応答した場合でも通話相手の音声は聞こえず、バックグラウンドで悪用コードが実行される仕組みだという。通話を拒否した場合はその試行を中断できるものの、標的が就寝中などの応答できない時間帯に再度発信することで攻撃を成立させることが可能だったとされる。

この脆弱性が悪用されると、攻撃者は対象のWeChatアカウントを完全に掌握できる状態になる。メッセージの閲覧や送信、通話の発信など、アカウント所有者と同等の操作が可能になるという。ただし、影響はWeChatアプリおよびアカウントの範囲内に留まり、端末そのものの制御権を奪うものではないと説明されている。

連絡先の信頼関係を悪用して連鎖的に拡散

実験では、連絡先同士の「信頼」を逆手に取ったワーム型の感染拡大が確認された。WeChatでは連絡先に登録された相手からの通信に対する信頼度が高く設定されているため、一度どこかのアカウントが乗っ取られると、そのアカウントを起点として次の標的へ容易に攻撃を仕掛けることができる。

Califが公開したデモでは、3台のテスト用端末を用いて感染の連鎖が示された。まずAndroid端末からiPhoneへ発信し、着信音が鳴っている間にiPhone上のWeChatを掌握した。その後、乗っ取られたiPhoneから自動的に2台目のAndroid端末へ発信が行われ、同様の手順でアカウントの制御権が奪われたという。

WeChatは中国をはじめ世界中で広く使われており、チャットだけでなく決済機能や公式アカウント、アプリ内ミニアプリなどを統合した大規模な生活インフラとなっている。Tencentが発表した2026年第2四半期決算によると、WeChatおよび中国国内版「Weixin」の合算月間アクティブユーザー数（MAU）は、2026年6月30日時点で14億3900万人に達している。

Tencentによる修正対応と影響範囲

Califは2026年7月にこの脆弱性をTencentへ報告した。Tencentは8月21日にAndroid版バージョン8.0.77およびiOS版バージョン8.0.76をリリースし、問題を緩和したという。さらにCalifは8月28日、Tencentのサーバー側でも悪用通信の遮断処理が適用されたことを確認したとしている。

サーバー側でブロック措置が講じられているため、ユーザー側が特別な操作をしなくても攻撃は成立しない状態になっているが、安全のためアプリを最新版に保つことが推奨されている。なお、iOS版アプリのリリースノートやApp Storeの更新履歴では、本更新は単なる「バグ修正」としてのみ記載されている。

Califによると、実験ではAndroid版バージョン8.0.76およびiOS版バージョン8.0.75（いずれも修正版の1つ前のバージョン）を対象に検証が行われ、iOS 26.6や旧バージョンのAndroidで動作が確認された。現時点でCVE識別番号（脆弱性を一意に特定するための国際的な識別子）は発行されておらず、Tencentのセキュリティ情報ページにも本件に関する公式アドバイザリは掲載されていない。

AI支援による脆弱性発見とエクスプロイト開発

今回の脆弱性発見と実証コードの作成には、AIが活用された点も明らかにされている。Califはメッセージングアプリの攻撃対象領域（アタックサーフェス）を探索・特定するAI向けのスキルセットを独自に設計し、それを用いたAIによって今回の欠陥を発見したと説明している。

コードを実行させる最初のエクスプロイト（脆弱性を悪用するプログラム）の作成には約2日、それをワームとして自己拡散させる仕組みの構築にはさらに約1週間を要したという。同社の記録によると、7月23日に欠陥を把握した後、7月30日に最初のAndroid向けエクスプロイトが完成し、8月11日にワームのデモが完成したとされている。Califは悪用防止のため技術的な詳細の公開を控えており、今後のカンファレンスで完全な分析結果を発表する予定としている。