WeWorm: โทร WeChat เข้ามาอย่างเดียวก็ยึดบัญชีได้ — Tencent บล็อกแล้ว แต่ยังควรอัปแอป

ถ้าคุณหรือคนในบ้านใช้ WeChat ข่าววันที่ 8 ก.ย. 2026 นี้กระทบตรง ๆ ครับ — ไม่ต้องกดรับสายก็เสี่ยงได้

ทีมวิจัย Calif เปิดเผยงานชื่อ WeWorm ว่าเป็น worm แบบ zero-click (โจมตีโดยที่เหยื่อไม่ต้องแตะเครื่อง) ที่แพร่ผ่านสายเรียก VoIP ของ WeChat ข้ามทั้ง iOS และ Android The Hacker News สรุปเรื่องเดียวกันในวันเดียวกัน โดยอ้างงานของ Calif

ทำอะไรได้ และเงื่อนไขคืออะไร

ตาม หน้าวิจัยของ Calif พวกเขาเดโมบนมือถือสามเครื่อง: โทรจาก Android ไปยึด iPhone ขณะสายยังดัง แล้วใช้บัญชีที่ถูกยึดโทรต่อไปยึด Android เครื่องถัดไป การโจมตีใช้เวลาไม่กี่วินาที และให้ควบคุมบัญชี WeChat ได้ เช่น อ่าน/ส่งข้อความ และโทรแทนเหยื่อ

จุดสำคัญที่ Calif ย้ำ:

• เหยื่อไม่ต้องรับสาย และไม่ต้องแตะเครื่อง
• ผู้โทรต้องอยู่ในรายชื่อเพื่อนของเหยื่อก่อน (แต่ถ้าเพื่อนถูกยึดก่อน ก็กลายเป็นทางเข้าได้)
• บั๊กเป็น memory corruption ในสแตก VoIP ของ WeChat — รายละเอียดเทคนิคยังไม่เปิดเต็ม เพราะจะนำเสนอในงานประชุมภายหลัง
• Calif บอกว่าใช้ AI ช่วยค้นหาบั๊กและเขียน RCE รอบแรกได้เร็วขึ้น แต่ยังมีคนตัดสินใจเป้าหมายและการทดสอบอย่างปลอดภัย

Tencent แก้ไปถึงไหนแล้ว

Calif รายงานว่าแจ้ง Tencent ตั้งแต่กรกฎาคม 2026 และยืนยันเมื่อ 28 สิงหาคม 2026 ว่า exploit ของพวกเขาถูกบล็อกฝั่งเซิร์ฟเวอร์สำหรับผู้ใช้ทั้งหมด นอกจากนี้ยังอ้างว่าแอป Android 8.0.77 และ iOS 8.0.76 (เผยแพร่ 21 สิงหาคม) ช่วยลดช่องทางนี้แล้ว

แปลสั้น ๆ: ฝั่งเซิร์ฟเวอร์บล็อกแล้ว แต่การอัปแอปให้ถึงเวอร์ชันล่าสุดยังเป็นทางเลือกที่ปลอดภัยกว่า — โดยเฉพาะถ้าเครื่องคุณค้างเวอร์ชันเก่า

ผมไม่ลง PoC หรือขั้นตอนโจมตีในบทความนี้ มีแต่ฝั่งป้องกันที่ทำได้ทันที

Recap

• อัป WeChat ให้ถึงสายล่าสุด (อ้างอิงช่วงที่ Calif ระบุ: Android 8.0.77 / iOS 8.0.76 ขึ้นไป แล้วเช็กในร้านแอปอีกครั้ง)
• อย่าเพิ่งตกใจถ้าสายจากเพื่อนดังแล้วเงียบผิดปกติ — แต่ถ้าสงสัยบัญชีหลุด ให้เปลี่ยนรหัส/ตรวจอุปกรณ์ที่ล็อกอินและแจ้งเพื่อนใกล้ชิด
• เตือนคนในครอบครัวที่ใช้ WeChat เป็นหลัก: อัปแอป + ระวังบัญชีเพื่อนที่พฤติกรรมแปลก
• ติดตาม Calif / The Hacker News ถ้ามี CVE หรือ advisory ทางการของ Tencent ตามมา