WeChat通話にゼロクリック脆弱性 友人間で拡散

TencentはWeChatの通話機能に存在したゼロクリック脆弱性を修正した。 攻撃は利用者が応答しなくても成立し、アカウントの乗っ取りが数秒で完了する。 発見した調査組織Califはこの欠陥をWeWormと命名した。 本記事は The Register に基づく（All Rights Reserved）。 日本国著作権法32条の公正な引用に依拠する。

The Register の Connor Jones の報道では、月間利用者が14億人を超えるWeChatのVoIP処理にメモリ破壊の欠陥があったと伝えている。 欠陥はiOSとAndroidの双方に影響し、友人登録済みの相手からの発信で悪用できる構造だった。 Tencentは8月21日に修正を配信した。 Califは今週、実証映像を公開したが、技術的詳細の核心は非公開としている。

応答不要で乗っ取る攻撃の仕組み

Califの実証では、発信側が細工した通話データを送ると、着信側の処理が破綻する。 利用者が通話に出なくても、呼び出し音が鳴り続けている間に制御が奪われる。 奪取後はメッセージの閲覧と送信、発信、本人に代わる操作が可能になる。 原文の引用は次の通りだ。

Exploitation takes only seconds, and gives us full control of the WeChat account We can read and send messages, make calls, and act on the victim’s behalf

通話を拒否した場合は感染を回避できたとしている。 一方で、応答した場合と呼び出しを継続させた場合は感染を防げなかった。 不在時に再発信すれば再試行できる点も、防御を難しくしている。 音声通話の受信処理は常時待機するため、攻撃面が広がりやすい。 映像符号化の分野でもメモリ安全性が課題になる事例は多い。 Vulkan Videoエンコード、Intel Alchemist GPUで復活が示すように、媒体処理の実装は複雑化している。 通話音声の復号や jitter 対策も同様に複雑な解析処理を含む。

信頼関係を悪用する感染拡大の手法

WeWormの拡散は友人関係を経路とする。 攻撃者は被害者の友人登録が必要だが、乗っ取ったアカウントから次の友人に連鎖する。 このため、初期の侵入後は信頼済み発信者として拡散できる。 被害者が操作しなくても、乗っ取られた側から自動で次の発信が行われる。

この構造は電子メールの自己増殖型不正程序と似た性質を持つ。 違いは電話の着信処理を起点とする点にある。 利用者は不審な添付文書を開かなくても被害に遭う。 連絡先の信頼性だけでは防御できない。 企業環境では私用と業務用の連絡先が混在しやすい。 1件の侵害が取引先や同僚へ波及する恐れがある。 管理者は端末管理と応用更新の徹底が求められる。

AI活用で短縮された発見と実証過程

CalifはAIを用いて欠陥の特定と遠隔実行の初期実証を約2日間で実現したと説明している。 対象はVoIPの受信処理であり、入力値の検証不備が焦点になったとみられる。 Tencentは報告後に内容を確認した。 詳細な攻撃鎖は公表されていない。

AIによる作業の高速化は、防御側にも影響する。 ファジングや到達可能性解析、実証符号の雛形生成にAIを併用する手法が広がっている。 Desktop Commander MCP、AIにターミナル操作を委任が示すように、AIに操作を委ねる運用は開発現場で拡大している。 脆弱性調査でも同様に、再現環境の構築や記録整理の自動化が進んでいる。 ただし、最終的な原因特定と影響評価は人手の検証が不可欠である。 今回の事例は、発見速度の向上が開示と修正の速度にも直結することを示した。

端末全体に及ぶ連鎖侵害の危険性

CalifはWeWorm単体ではWeChatのアカウント制御にとどまるとしている。 しかし、他のAndroidとiOSの欠陥と組み合わせれば端末全体の制御に至ると説明している。 具体的な連鎖手順は公開されていない。 OEMpocalypseの手法のような権限昇格を組み合わせ、別応用の欠陥からWeChatを奪取する筋書きにも触れている。

権限昇格と応用間連携の危険性は他の事例でも確認されている。 Microsoft Defenderの特権昇格脆弱性「RoguePlanet」公開では、防御機構自体の権限問題が報告された。 単一の欠陥の影響が小さく見えても、連鎖で管理者権限に到達する事例は珍しくない。 今回も通話処理の欠陥が起点となり、OS層の欠陥と結合する構図が想定されている。 そのため、OS更新と応用更新の双方が重要になる。 利用者側は自動更新の有効化と提供元の正規性確認が基本対策になる。

修正は8月21日に配信済みである。 利用者はWeChatを最新版に更新し、OSも最新状態に保つ必要がある。 不審な不在着信があっても、友人からの発信は拒否しにくい。 拒否操作が有効だったとの説明はあるが、常時警戒は現実的でない。 組織は業務連絡にWeChatを用いる場合、更新状況の把握と多要素認証の併用を検討すべきである。 公式商店以外からの入手は避ける必要がある。

編集部の見解

短期的には通話機能を持つ大規模応用の点検が進むと見る。音声処理の入力検証が見直される。修正の適用状況の確認作業も増えると見る。

長期的にはAI併用型の脆弱性調査が定着すると評価する。発見から実証までの期間が短くなる。防御側の運用と開示手順の見直しが求められると見る。

残る問いは友人関係への信頼をどう設計するかだ。拒否操作だけに依存する対策で十分なのか。利用者側の確認手段をどう確保するのかが問われている。

参考

• 「WeChat worm could pwn a friend before they even answered the call」, by Connor Jones — The Register, 2026-09-09T12:45:00.000Z (ARR)
• 元記事URL: https://www.theregister.com/security/2026/09/09/wechat-worm-could-pwn-a-friend-before-they-even-answered-the-call/5295234