WeWorm: el fallo de WeChat que podía secuestrar cuentas en iPhone y Android sin responder una llamada
WeWorm permitía tomar cuentas de WeChat mediante una llamada sin respuesta. Tencent corrigió el fallo en Android e iOS y afirma que no fue explotado.
Investigadores de seguridad de Calif han revelado WeWorm, una vulnerabilidad zero-click de WeChat que podía permitir el secuestro de una cuenta mediante una llamada entrante en iPhone y Android sin necesidad de que la víctima respondiera o interactuara con el teléfono. Tencent ya ha mitigado el problema y asegura que no existen evidencias de que haya sido explotado contra usuarios en ataques reales.
El ataque tenía una condición importante: la cuenta utilizada para realizar la llamada debía encontrarse previamente en la lista de amigos de la víctima. Aun así, los investigadores demostraron cómo una cuenta comprometida podía utilizar sus propios contactos para intentar extender el ataque, convirtiendo el fallo en un potencial mecanismo de propagación entre usuarios de WeChat.
WeChat 8.0.77 para Android y 8.0.76 para iPhone corrigieron el ataque
Calif comunicó el problema a Tencent el 24 de julio de 2026. El 21 de agosto, la compañía publicó WeChat 8.0.77 para Android y WeChat 8.0.76 para iOS, versiones que los investigadores identifican como las primeras que mitigaron el exploit utilizado en sus pruebas.
Los usuarios deberían utilizar, como mínimo, WeChat 8.0.77 en Android y 8.0.76 en iPhone o cualquier versión posterior. En iOS, Apple ya muestra la versión 8.0.78 como una actualización posterior, por lo que instalar la versión más reciente disponible sigue siendo la opción recomendada.
Tencent añadió además una mitigación en sus servidores. Calif confirmó el 28 de agosto que su exploit había dejado de funcionar para todos los usuarios debido a esa protección, independientemente de que hubieran instalado manualmente la actualización de la aplicación.
No era necesario responder la llamada
La característica que convierte a WeWorm en un caso especialmente relevante es que la víctima no tenía que aceptar la llamada. Según las pruebas de Calif, el ataque podía completarse mientras el teléfono todavía estaba sonando y sin que el usuario tocara ningún botón.
Los investigadores demostraron el comportamiento utilizando tanto Android como iOS. Una cuenta comprometida podía posteriormente realizar una llamada a otro contacto y repetir el proceso, lo que permitió al equipo construir una demostración de propagación entre varios teléfonos con sistemas operativos diferentes.
Rechazar una llamada detenía ese intento concreto, según Calif, pero no solucionaba el problema de fondo porque la misma cuenta podía volver a llamar posteriormente. La protección efectiva llegó con las medidas desplegadas por Tencent.
El atacante tenía que ser un contacto de WeChat
WeWorm no permitía atacar directamente a cualquier cuenta de WeChat únicamente conociendo su nombre o número de teléfono. El origen de la llamada tenía que formar parte de la lista de amigos de la víctima.
Esta restricción reduce el conjunto inicial de posibles atacantes, pero era precisamente lo que hacía preocupante la capacidad de propagación demostrada. Una vez comprometida una cuenta, esta ya tenía una relación de confianza establecida con sus propios contactos y podía utilizarla para intentar alcanzar al siguiente usuario.
Calif construyó una demostración controlada en la que el ataque pasó de un teléfono Android a un iPhone y posteriormente a otro dispositivo Android. No se trató de una infección observada en Internet, sino de una prueba desarrollada por los investigadores antes de hacer pública la vulnerabilidad.
El fallo permitía tomar el control de la cuenta de WeChat
Calif describe el problema como una vulnerabilidad de corrupción de memoria relacionada con el sistema de llamadas de WeChat. Tencent confirmó posteriormente a los investigadores que podía utilizarse para conseguir ejecución remota de código.
En la demostración, el resultado era el control de la cuenta de WeChat de la víctima. El atacante podía actuar desde ella, incluyendo leer y enviar mensajes o realizar nuevas llamadas en nombre del usuario.
Esto no debe confundirse automáticamente con el control completo del iPhone o del teléfono Android. Calif explica que el fallo de WeChat podía combinarse con otras vulnerabilidades independientes para ampliar el acceso al dispositivo, pero esas cadenas adicionales no forman parte del ataque básico divulgado como WeWorm.
Tencent dice que no hay pruebas de ataques reales
Hasta el momento no existe evidencia pública de que WeWorm haya sido utilizado activamente contra usuarios fuera de las pruebas de seguridad. Tencent indicó que no había encontrado indicios de explotación de la vulnerabilidad en condiciones reales.
Calif tampoco presentó WeWorm como el descubrimiento de una campaña activa. El equipo desarrolló el gusano como prueba de concepto, notificó el fallo de forma privada a Tencent y esperó a que se desplegaran las mitigaciones antes de publicar la investigación el 8 de septiembre.
Actualmente tampoco se ha publicado un identificador CVE para esta vulnerabilidad. Calif está reteniendo los detalles técnicos que permitirían comprender con precisión cómo se construía el exploit y prevé presentar posteriormente un análisis más completo.
Qué deben hacer los usuarios de WeChat
La principal medida es comprobar que WeChat está actualizado. En Android debe utilizarse la versión 8.0.77 o posterior y en iPhone la 8.0.76 o posterior. Si existe una versión más nueva en Google Play, App Store o el canal oficial utilizado para instalar WeChat, debe priorizarse esa actualización.
La mitigación aplicada por Tencent en sus servidores proporciona una segunda capa de protección y, según Calif, bloqueó el exploit para todos los usuarios. No obstante, mantener la aplicación actualizada evita depender únicamente de una protección remota y permite recibir otras correcciones de seguridad incorporadas por el desarrollador.
El caso también muestra por qué las vulnerabilidades zero-click en aplicaciones de mensajería reciben especial atención. Una llamada o mensaje puede ser procesado por una aplicación antes de que el usuario decida interactuar con él, por lo que un error en esa superficie puede eliminar una de las defensas habituales frente al fraude: simplemente no abrir ni responder contenido sospechoso.
