Các nhà nghiên cứu tại công ty an ninh mạng Calif đã phát triển một loại sâu máy tính có khả năng chiếm quyền kiểm soát tài khoản WeChat thông qua một cuộc gọi đến và đã trình diễn khả năng lây lan của nó trên ba điện thoại thử nghiệm.

Chỉ cần một cuộc gọi để chiếm quyền điều khiển

Người bị gọi không cần phải trả lời hoặc thao tác gì trên điện thoại để cuộc tấn công diễn ra, tuy nhiên người gọi phải là một trong những liên hệ WeChat của họ. Calif đã báo cáo lỗ hổng này cho Tencent vào tháng 7 và cho biết công ty đã chặn khai thác này cho tất cả người dùng.

Hiện chưa ghi nhận bất kỳ cuộc tấn công nào lợi dụng lỗ hổng này, và Calif cũng không cho biết có trường hợp nào xảy ra. Các cuộc tấn công không cần sự tương tác của nạn nhân, còn gọi là tấn công “zero-click”, không phải là điều mới. Năm ngoái, WhatsApp đã vá một lỗ hổng được cho là có thể đã bị khai thác trong các cuộc tấn công có chủ đích.

Việc trả lời cuộc gọi không ngăn chặn được cuộc tấn công. Calif cho biết, người nhận cuộc gọi nếu bắt máy sẽ không nghe thấy gì và lỗ hổng vẫn bị khai thác. Nếu từ chối cuộc gọi, cuộc tấn công sẽ kết thúc, nhưng kẻ tấn công có thể gọi lại vào lúc khác, ví dụ khi nạn nhân đang ngủ.

Người gọi phải nằm trong danh sách liên hệ WeChat của mục tiêu. Calif nhận định đây không phải là rào cản lớn, bởi khi một liên hệ bị chiếm quyền, mức độ tin cậy mà WeChat dành cho các liên hệ sẽ bị lợi dụng bởi kẻ tấn công thay vì người dùng.

Đó cũng là phần được trình diễn trong bản demo. Một điện thoại Android gọi đến một chiếc iPhone và chiếm quyền kiểm soát WeChat trên iPhone khi máy vẫn đang đổ chuông. Sau đó, chiếc iPhone bị chiếm quyền tiếp tục gọi đến một điện thoại Android khác và kiểm soát nó theo cách tương tự.

Bài đăng của Calif mô tả các hướng tấn công mà kẻ xấu có thể sử dụng, chứ không phải tất cả đều đã được thử nghiệm. Khi khai thác thành công, các nhà nghiên cứu cho biết kẻ tấn công có toàn quyền kiểm soát tài khoản WeChat, có thể đọc và gửi tin nhắn, thực hiện cuộc gọi và hành động như chủ tài khoản. Tuy nhiên, lỗ hổng này không cho phép kiểm soát toàn bộ thiết bị.

Với nhiều người dùng, tài khoản WeChat không chỉ là ứng dụng nhắn tin. Trên App Store, WeChat còn tích hợp thanh toán, tài khoản chính thức và các mini-program bên trong ứng dụng. Theo báo cáo quý II/2026 của Tencent, tổng số người dùng hoạt động hàng tháng của WeChat và Weixin đạt 1,439 tỷ tính đến ngày 30/6/2026.

Tencent đã phát hành phiên bản 8.0.77 cho Android và 8.0.76 cho iOS vào ngày 21/8, theo nhật ký phát hành của hãng. Calif cho biết các bản cập nhật này đã giảm thiểu lỗ hổng và đến ngày 28/8, họ xác nhận khai thác đã bị chặn trên máy chủ của Tencent.

Các nhà nghiên cứu cho biết Tencent đã “giảm thiểu khai thác của chúng tôi cho tất cả người dùng”. Khi được hỏi liệu lỗ hổng gốc đã được khắc phục hoàn toàn chưa, Calif trả lời The Hacker News rằng họ không thể bình luận. Tencent chưa công bố bất kỳ khuyến cáo nào về lỗ hổng này, và ghi chú phát hành cho iOS cũng như trên App Store chỉ đề cập đến sửa lỗi thông thường.

Theo Calif, việc chặn khai thác được thực hiện trên máy chủ của Tencent, nên người dùng không cần cài đặt gì thêm. Tuy nhiên, sử dụng phiên bản mới nhất vẫn là lựa chọn an toàn hơn, và đến ngày 8/9, phiên bản hiện tại là 8.0.76, phát hành ngày 21/8.

Calif cho biết đã thử nghiệm khai thác trên WeChat 8.0.76 cho Android và 8.0.75 cho iOS, tức là các phiên bản ngay trước bản cập nhật ngày 21/8 của Tencent. Các thử nghiệm được tiến hành trên iOS 26.6 và một số phiên bản Android cũ hơn. Cả hai công ty đều chưa công bố danh sách đầy đủ các phiên bản bị ảnh hưởng, nên người dùng các bản khác không thể biết liệu mình có bị ảnh hưởng hay không.

Tencent cũng phát hành WeChat cho HarmonyOS, Windows, Mac và Linux theo lịch riêng. Calif từ chối trả lời về việc đã thử nghiệm trên các nền tảng này hay chưa, và Tencent cũng chưa đề cập đến chúng.

Calif hiện chưa công bố chi tiết kỹ thuật và dự kiến sẽ trình bày phân tích đầy đủ tại một hội nghị. Họ cũng chưa công bố bất kỳ thông tin nào mà các chuyên gia phòng thủ có thể tra cứu, và người dùng không có cách nào để biết mình đã bị gọi hay chưa.