有黑客可以黑入微信吗

简介

该问题探讨的核心，是微信账号在技术上是否可能被第三方未经授权取得控制权。从信息安全的角度看，任何联网运行的即时通讯软件都存在攻击面，微信的攻击面包括账号登录凭证、客户端程序、服务端信令协议以及小程序与支付等扩展功能^[1]。

2026 年 9 月公开的 WeWorm 研究演示，为这一问题提供了具体案例：研究人员利用人工智能工具发现并利用微信 VoIP 通话模块的缺陷，在目标不接听、不点击的情况下取得账号控制权。该事件说明，黑入微信在技术原理上是可能的，但需要利用特定漏洞，并受好友关系等条件限制^[3]。

沿革

即时通讯软件账号被入侵的途径，长期以凭据窃取类手段为主，例如诱导用户点击恶意链接、下载附件或输入密码，这类方式依赖受害者主动操作^[1]。与之相对的零点击攻击，针对的是软件自动处理的数据，不要求用户做出任何交互，因此在防护上更依赖厂商修补漏洞^[1]。

2026 年 7 月，总部位于美国加州帕洛阿尔托的安全公司 Calif Research 借助人工智能工具确认微信 VoIP 协议栈存在零点击利用点，并于 7 月 24 日向腾讯安全应急响应中心提交漏洞细节^[4]。7 月 30 日至 8 月 2 日，研究团队分别完成 Android 与 iOS 平台的稳定远程代码执行利用^[4]。

8 月 11 日，跨 Android 与 iOS 双平台的蠕虫原型验证完成^[4]。8 月 17 日至 21 日，腾讯推送 Android 版微信 8.0.77 与 iOS 版微信 8.0.76 客户端更新；8 月 28 日，腾讯在信令服务器端部署拦截策略，研究人员确认攻击路径被切断^[4][3]。9 月 8 日，研究成果对外公开，《纽约时报》同日刊发报道。

腾讯方面确认漏洞存在并完成修复，同时表示没有理由认为该问题危及安全或影响任何用户，用户无需更新应用即可获得保护。泰国国家计算机应急响应协调中心(ThaiCERT)指出，该发现目前仅是技术演示，尚未发现真实环境中的攻击，也未分配 CVE 编号^[2]。

特点

WeWorm 演示中的攻击路径具有明显的零交互特征。漏洞位于微信处理实时音视频通信的 VoIP 协议栈，涉及媒体参数协商报文与会话描述信令的解析环节^[4]。攻击者构造畸形信令包后，经服务端中继推送到目标设备，应用在展示振铃界面前解析信令时即触发内存破坏，并执行注入代码^[4]。这一机理意味着，用户接听与否并不决定攻击成败，只有在手机首次震动后数秒内拒接才可能阻断单次尝试，而攻击者可反复拨打。

权限范围受应用沙箱约束。研究人员指出，账号被接管后，攻击者可在微信进程内读取或发送消息、发起通话、冒用身份，并获取好友列表与登录凭证，但无法直接突破 Android 或 iOS 操作系统的底层隔离；若要对整机实现完全控制，还需串联操作系统层面的提权漏洞^[4]。

传播能力依赖社交关系链。攻击前置条件是攻击者微信号位于目标好友列表中，单向删除或拉黑会导致信令无法送达^[4]。但一旦某个真实好友的账号先被控制，原本用于建立信任的好友关系就会成为横向渗透通道，被控账号可自动遍历通讯录并继续呼叫，形成类似蠕虫的链式扩散；研究团队认为其潜在扩散速度可达数小时数亿台设备。

该演示还体现出跨平台特征。研究人员在隔离测试环境中使用多款不同架构的 Android 与 iOS 设备联调，确认载荷可在两个生态之间交叉感染，这也是其被称为已知首个无需受害者点击便能跨平台传播的计算机蠕虫的原因^[5]。

从攻防效率看，人工智能的介入改变了漏洞研究的节奏。Calif 称，团队与 AI 协作发现漏洞并完成首个远程代码执行验证约用两天，再用约一周形成蠕虫演示；而同类可大规模传播的蠕虫过去需专业团队数月开发^[1]。该公司综合使用开源模型与美国主流模型，但未披露具体型号。截至 2026 年 6 月底，微信与 WeChat 合并月活跃账户约 14.39 亿^[1]。