美國資安機構驚爆微信「WeWorm」漏洞！黑客打電話響鈴幾秒即奪權　不用接聽都被盜【官方已緊急修復】

| 珈琲人 | 15-09-2026 17:41 |

在Google
追蹤《e-zone》

通訊軟件的使用安全再次敲響警鐘。美國加州網絡安全機構 Calif Research 日前公佈，團隊利用 AI 編寫出名為「WeWorm」的攻擊工具，發現微信（WeChat）存在重大安全漏洞。黑客只需向目標撥打語音電話，受害者無需接聽、點擊任何連結，甚至在幾秒鐘內掛斷，賬號仍會在響鈴階段被奪取控制權，形成極具威脅的「零點擊（Zero-click）」攻擊。《紐約時報》引述上海復旦大學美國研究中心副主任趙明昊形容，搞垮微信的能力，甚至相當於「一種新的核武器」。

響鈴即中招！「WeWorm」蠕蟲漏洞如何連環擴散？

今次被揭發的漏洞，源於微信 VoIP（網絡語音通話）協議棧中的記憶體損毀問題（Memory Corruption）。不同於以往的釣魚攻擊需要用戶點擊惡意連結或下載檔案，WeWorm 這類「零點擊」攻擊之所以危險，在於受害者完全處於被動狀態，防不勝防：

無感劫持：攻擊者只需向目標撥打微信語音電話。受害者無需接聽、無需點擊任何連結，甚至在沒有輸入任何密碼的情況下，僅在手機響鈴的幾秒鐘內，微信賬號的控制權就會被奪取。

掛斷無效：即使受害者即時掛斷來電，攻擊仍可能在響鈴瞬間完成；若首次嘗試失敗，黑客亦可選擇在受害者休息或無法應答的時間點再次撥打。
連環連鎖反應：一旦賬號遭到入侵，WeWorm 能自動讀取受害者的聯絡人名單，並代表受害者向好友發起新一輪語音通話，形成「一人中招、連環擴散」的蠕蟲式傳播。
跨平台與最高權限控制：研究團隊以 Google Pixel（Android）與 iPhone（iOS）進行實測，證實攻擊能跨越作業系統傳播。黑客除了能接管微信賬號閱讀訊息、代發動態及撥打電話外，若結合 Android 或 iOS 的其他系統漏洞，更能進一步取得整部手機的完整控制權。

AI 成為黑客「武器化」推手！攻擊開發時間由數月縮短至數日

除了漏洞本身的破壞力，今次事件更揭示了 AI 技術在網絡安全領域帶來的威脅。Calif Research 團隊透露，他們利用大語言模型（LLM）協助分析，僅耗時兩天便發現了這個隱蔽的 VoIP 漏洞，並寫出遠端代碼執行（RCE）程式，隨後在一星期內完成了整套 WeWorm 蠕蟲工具的搭建。

在過去，要開發出如此大規模、跨平台且具備自動擴散能力的零點擊蠕蟲攻擊，往往需要具備國家級背景或專業黑客團隊耗時數月。如今在 AI 的協助下，大幅降低了高階網絡攻擊的技術門檻，對普通網絡用戶構成前所未有的威脅。

騰訊急推修復措施　專家教路 3 招自保

針對 Calif Research 的通報，微信母公司騰訊已作出回應，確認調查後已迅速採取應對方案。騰訊指出，相關修復程序已直接部署至伺服器端並即時生效，用戶無需特別手動更新 App 亦可獲得防護。同時，官方表示目前未有證據顯示該漏洞曾被黑客濫用，亦未接獲用戶受損個案。

截至今年 6 月底，微信和微信海外版 WeChat 月活躍賬戶共 14.39 億個。雖然官方已從服務器端阻斷攻擊，但仍建議廣大 WeChat 用戶留意以下幾點：

保持應用程式更新：雖然騰訊已執行伺服器端修復，但仍建議用戶將 iOS（8.0.76 以上）及 Android（8.0.77 以上）的微信 App 升級至最新版本，確保能有效擋下其他已被揭露的底層連帶漏洞。
清理陌生好友：由於 WeWorm 攻擊需要利用好友關係鏈作為起點，用戶應定期清理通訊錄中的陌生好友，避免帳號成為鏈式攻擊的破口。
留意突發的異常來電：若收到陌生或不常聯絡好友傳來短促且重複的語音通話，應提高警覺，必要時透過其他通訊管道向對方核實賬號安全性。

即刻【按此】，用 App 睇更多產品開箱影片