WeWorm è una vulnerabilità zero-click dimostrata su WeChat per iPhone e Android che poteva compromettere un account durante una chiamata, senza che la vittima dovesse aprire link o premere pulsanti. Il problema, però, è già stato mitigato: secondo i ricercatori di Calif, Tencent ha pubblicato versioni corrette dell’app il 21 agosto 2026 e il 28 agosto ha bloccato la specifica catena anche lato server per tutti gli utenti.
Se usi WeChat, il controllo più utile è semplice: aggiorna l’app all’ultima versione disponibile. Le release indicate da Calif come corrette sono WeChat 8.0.77 su Android e 8.0.76 su iOS, o qualsiasi versione successiva.
WeWorm: cos’è e perché il caso è importante
WeWorm è il nome dato da Calif Research a una catena di attacco dimostrativa contro WeChat. Il gruppo la descrive come il primo worm zero-click capace di propagarsi attraverso le chiamate WeChat sia su iOS sia su Android.
Il termine zero-click significa che la vittima non doveva aprire un allegato, visitare un sito o accettare la chiamata. Il bug era un problema di corruzione della memoria nello stack VoIP dell’app, cioè nella parte che gestisce le comunicazioni vocali.
Questo non significa che chiunque potesse colpire qualsiasi utente WeChat. Calif specifica che l’account che avviava l’attacco doveva essere nella lista amici della vittima. In uno scenario worm, però, un account già compromesso avrebbe potuto usare quella relazione di fiducia per raggiungere i propri contatti.
Quali versioni di WeChat hanno corretto WeWorm
| Piattaforma | Versione corretta indicata da Calif | Data | Cosa fare |
|---|---|---|---|
| Android | 8.0.77 | 21 agosto 2026 | Aggiorna a questa versione o successiva |
| iPhone/iOS | 8.0.76 | 21 agosto 2026 | Aggiorna a questa versione o successiva |
| Tutti gli utenti | Mitigazione server-side | 28 agosto 2026 | Mantieni comunque l’app aggiornata |
La patch dell’app corregge il client installato sul telefono; la protezione lato server, secondo Calif, impedisce alla specifica catena WeWorm dimostrata dai ricercatori di funzionare anche per chi non avesse ancora aggiornato. Questo non rende inutile l’update: una versione recente può contenere altre correzioni di sicurezza e riduce l’esposizione a bug non coperti da una mitigazione server.
Come controllare WeChat su Android e iPhone
Su Android apri il Google Play Store, cerca WeChat e verifica se compare il pulsante Aggiorna. Puoi controllare il numero di versione anche da Impostazioni > App > WeChat; il percorso può cambiare leggermente in base al produttore.
Su iPhone apri App Store, entra nel profilo e controlla gli aggiornamenti disponibili. Per WeWorm, la release citata dai ricercatori è WeChat 8.0.76 per iOS. Su Android la soglia indicata è 8.0.77. In entrambi i casi una versione successiva va bene.
Bastava ricevere una chiamata WeChat?
Nella dimostrazione di Calif la vulnerabilità poteva attivarsi mentre la chiamata stava ancora squillando. La vittima non doveva rispondere. Rifiutare rapidamente quella singola chiamata interrompeva il tentativo, ma non era una difesa affidabile perché l’attaccante avrebbe potuto riprovare.
Oggi conta però lo stato della correzione: Calif afferma che dal 28 agosto 2026 l’exploit dimostrato è mitigato lato server per tutti gli utenti. Non è quindi corretto interpretare ogni chiamata WeChat ricevuta oggi come un tentativo WeWorm.
WeWorm è stato sfruttato contro gli utenti?
La divulgazione pubblica riguarda una dimostrazione di ricerca. Al momento della disclosure non risultavano evidenze pubbliche di una campagna criminale attiva basata su WeWorm. Una vulnerabilità grave, quindi, non significa automaticamente che il tuo telefono sia stato compromesso.
Non esiste neppure una procedura semplice, nella disclosure pubblica, che permetta a un utente di stabilire retroattivamente se una vecchia chiamata fosse un tentativo di exploit. Diffida quindi di software che promettono di “rilevare WeWorm” senza spiegare con precisione su quali indicatori si basano.
Cosa fare adesso se usi WeChat
- Aggiorna WeChat dal Play Store o dall’App Store.
- Verifica di avere almeno 8.0.77 su Android o 8.0.76 su iOS, oppure una release successiva.
- Aggiorna anche Android o iOS quando il produttore pubblica patch di sicurezza.
- Non installare APK, profili o strumenti di “protezione” ricevuti via chat.
- Se noti messaggi o chiamate partiti dal tuo account senza autorizzazione, controlla le sessioni disponibili nell’app e cambia le credenziali pertinenti.
WeWorm e WhatsApp zero-click non sono lo stesso problema
Il concetto zero-click è simile, ma vulnerabilità, versioni coinvolte e mitigazioni cambiano da un’app all’altra. Per WhatsApp abbiamo una guida separata su chi rischia con gli attacchi zero-click e cosa controllare.
Tenere separati i due casi evita un errore frequente: leggere “zero-click” e applicare la stessa soluzione a qualunque app. Ogni falla ha un proprio vettore, una patch specifica e uno stato di sfruttamento differente.
Perché gli aggiornamenti delle app di messaggistica contano
Le app di messaggistica elaborano continuamente contenuti ricevuti da altri utenti: chiamate, immagini, video, anteprime, documenti e notifiche. Alcuni bug possono quindi essere raggiunti prima ancora che l’utente tocchi lo schermo.
Il caso WeWorm mostra perché è utile aggiornare sia l’app sia il sistema operativo. In passato abbiamo approfondito minacce iOS capaci di sfruttare vulnerabilità per raccogliere dati sensibili nell’articolo su LightSpy e le varianti spyware per iPhone.
La timeline della correzione
- 24 luglio 2026: la vulnerabilità viene segnalata a Tencent.
- 30 luglio: viene completata la dimostrazione RCE su Android.
- 2 agosto: Calif completa la dimostrazione su iOS.
- 11 agosto: viene completata la demo worm multipiattaforma.
- 21 agosto: Tencent pubblica WeChat 8.0.77 su Android e 8.0.76 su iOS.
- 28 agosto: Calif conferma la mitigazione server-side dell’exploit per tutti gli utenti.
- 8 settembre: i ricercatori rendono pubblico WeWorm trattenendo i dettagli tecnici più sensibili.
Il dato pratico è chiaro: WeWorm descrive un rischio reale dimostrato, ma la specifica catena resa pubblica è stata corretta prima della disclosure. Se usi WeChat su Android o iPhone, verifica gli aggiornamenti e mantieni app e sistema operativo alle versioni supportate.
