Исследователи из компании Calif выявили уязвимость в WeChat, позволяющую захватывать аккаунты пользователей через входящие звонки. Для атаки достаточно, чтобы звонящий находился в контактах, и никто не должен отвечать на вызов. Это всё больше озабочивает пользователей мессенджера, учитывая, что WeChat имеет более 1,4 миллиарда активных пользователей по состоянию на июнь 2026 года.
Контекст уязвимости
По словам Calif, уязвимость была обнаружена в июле 2026 года, и в скором времени была сообщена компании Tencent, которой принадлежит WeChat. Tencent на данный момент заблокировала возможность эксплуатации уязвимости для всех пользователей, хотя информация о конкретных версиях, подверженных атаке, на данный момент отсутствует.
Как работает атака
Для осуществления атаки злоумышленнику нужно просто позвонить на WeChat-номер жертвы. Эксплуатация уязвимости происходит вне зависимости от того, ответил ли пользователь или проигнорировал вызов. В случае если собеседник отвечает, он слышит тишину, но хакер всё равно получает доступ к его аккаунту. Таким образом, злоумышленник может отправлять сообщения, делать звонки и использовать аккаунт так, будто он его владелец.
Рекомендации для пользователей
Пользователям WeChat настоятельно рекомендуется обновить приложение до последних версий — 8.0.77 для Android и 8.0.76 для iOS. Хотя Tencent не публиковала полного списка уязвимых версий, пользователи должны быть внимательны к тому, на какую версию обновляется приложение. Обновление блокирует возможность эксплуатации уязвимости на стороне серверов Tencent, но тем не менее, важно самостоятельно следить за состоянием приложения.
Перспективы и обеспокоенность
Пока компания Tencent не предоставила полных данных о масштабах данной уязвимости и о том, какие версии еще могут быть подвержены риску, пользователям стоит проявлять осторожность. Calif планирует представить полное техническое описание на будущей конференции, что может помочь в лучшем понимании проблемы.