Ein Anruf Genügte
Forscher des Sicherheitsunternehmens Calif bauten einen Machbarkeitsnachweis, den sie WeWorm nennen: einen Zero-Click-Wurm, der ein WeChat-Konto allein durch einen eingehenden Anruf kapern konnte. Die Ausnutzung dauerte Sekunden. Einmal drin, gab der Exploit die volle Kontrolle über das Konto, Nachrichten lesen und senden, Anrufe tätigen und im Namen des Opfers handeln, und er konnte anschließend die eigenen Kontakte des Opfers anrufen, um sich weiterzuverbreiten, Telefon für Telefon, ohne dass jemand von ihnen etwas anklicken musste. Er funktionierte sowohl auf iPhone als auch auf Android.
Der Zeitplan ist der Teil, bei dem man innehalten sollte. KI fand die zugrunde liegende Schwachstelle im Juli 2026, noch vor dem eigenen Entwicklerteam von Calif, das am 23. Juli davon erfuhr und sie am nächsten Tag an Tencent meldete. KI half anschließend, innerhalb von zwei Tagen einen funktionierenden Remote-Code-Execution-Exploit zu bauen, und innerhalb etwa einer weiteren Woche einen vollständigen, sich selbst verbreitenden Wurm, eine Arbeit, die laut Calif früher ein erfahrenes Team Monate gekostet haben könnte.
| Meilenstein | Datum |
|---|---|
| KI entdeckt die zugrunde liegende Schwachstelle | Juli 2026 |
| Calif-Ingenieure werden darauf aufmerksam | 23. Juli 2026 |
| Meldung an Tencent | 24. Juli 2026 |
| Tencent liefert Updates aus (Android 8.0.77, iOS 8.0.76) | vor dem 28. August 2026 |
| Vollständige serverseitige Entschärfung für alle Nutzer bestätigt | 28. August 2026 |
| Forschung veröffentlicht | 8. September 2026 |
Die Eigentliche Geschichte Ist Die Uhr, Nicht Die Lücke
Die Schwachstelle selbst ist nicht die Nachricht. Fehler in Anruf- und Messaging-Stacks werden regelmäßig gefunden und behoben, und WeChats rund 1,4 Milliarden Konten machen die App zu einem großen, aber gewöhnlichen Ziel für solche Forschung. Was sich geändert hat, ist die Uhr: Die Zeitspanne von der Entdeckung einer Schwachstelle bis zu einem bewaffneten, sich selbst verbreitenden Wurm sank auf etwa sechs Wochen, unter Einsatz von KI-Werkzeugen, die weder exotisch noch auf eine Handvoll Labore beschränkt sind. Dieser Zeitplan liegt nun in Reichweite eines kleinen Forschungsteams, nicht nur eines staatlichen Programms, und er bricht eine Annahme, auf die sich die meisten Notfallplanungen noch stützen: dass der Abstand zwischen der Existenz eines Fehlers und seiner Umwandlung in einen funktionierenden Wurm der Puffer der Verteidiger ist. Dieser Puffer schrumpft schneller, als die meisten Patch-Zyklus-Pläne annehmen.
Was Sich Für Alle Ändert, Die Verbraucherkonten Betreiben
Für jeden Betreiber, der Authentifizierung über Sprach- oder Anrufkanäle abwickelt, oder ein Geschäftskonto, das an eine Messaging-Plattform wie ein WeChat-Pay-Händlerkonto gebunden ist, lautet die praktische Antwort, die angenommene Lücke zwischen Offenlegung einer Schwachstelle und tatsächlicher Ausnutzung in der Notfallplanung zu verkürzen und sprach- und anrufbasierte Authentifizierungswege genauso ernst zu überwachen wie webbasierte. Ein Bedrohungsmodell, das Zero-Click-, sich selbst verbreitende Exploits nur staatlichen Spitzenakteuren zuschreibt, ist bereits überholt. Sechs Wochen sind heute ein plausibler Zeitrahmen für ein KI-gestütztes Forschungsteam, nicht mehr nur für einen Nationalstaat.
Weiterlesen: Angreifer heizten Frankreichs Tiefkühler auf 50 Grad | KI-Würmer könnten zuerst billige IoT-Geräte treffen
