È Bastata Una Chiamata
I ricercatori dell'azienda di sicurezza Calif hanno costruito una prova di concetto che chiamano WeWorm: un worm a zero clic capace di dirottare un account WeChat con nient'altro che una chiamata in arrivo. Lo sfruttamento richiedeva pochi secondi. Una volta dentro, l'exploit dava il controllo completo dell'account, leggere e inviare messaggi, effettuare chiamate e agire per conto della vittima, e poteva poi chiamare i contatti stessi della vittima per continuare a propagarsi, telefono dopo telefono, senza che nessuno di loro cliccasse su nulla. Funzionava sia su iPhone che su Android.
La cronologia è la parte su cui vale la pena soffermarsi. L'IA ha trovato la vulnerabilità di fondo a luglio 2026, prima del team di ingegneria di Calif, che ne è venuto a conoscenza il 23 luglio e l'ha segnalata a Tencent il giorno dopo. L'IA ha poi aiutato a produrre un exploit di esecuzione di codice remoto funzionante in due giorni, e un worm autopropagante completo in circa un'altra settimana, un lavoro che secondo Calif un tempo avrebbe potuto richiedere mesi a un team esperto.
| Tappa | Data |
|---|---|
| L'IA scopre la vulnerabilità di fondo | Luglio 2026 |
| Gli ingegneri di Calif ne vengono a conoscenza | 23 luglio 2026 |
| Segnalato a Tencent | 24 luglio 2026 |
| Tencent rilascia le correzioni (Android 8.0.77, iOS 8.0.76) | prima del 28 agosto 2026 |
| Mitigazione completa lato server confermata per tutti gli utenti | 28 agosto 2026 |
| Ricerca pubblicata | 8 settembre 2026 |
La Vera Notizia È L'Orologio, Non Il Bug
La vulnerabilità in sé non è la notizia. I bug negli stack di chiamate e messaggistica vengono trovati e corretti regolarmente, e i circa 1,4 miliardi di account di WeChat la rendono un obiettivo grande ma ordinario per questo tipo di ricerca. Ciò che è cambiato è l'orologio: il tempo tra la scoperta di una vulnerabilità e un worm armato e autopropagante è sceso a circa sei settimane, usando strumenti di IA che non sono esotici né riservati a una manciata di laboratori. Quella cronologia è ora alla portata di un piccolo team di ricerca, non solo di un programma statale, e demolisce un'ipotesi su cui si basa ancora gran parte della pianificazione della risposta agli incidenti: che l'intervallo tra l'esistenza di un bug e la sua trasformazione in un worm funzionante sia il margine del difensore. Quel margine si sta riducendo più in fretta di quanto presuppongano la maggior parte dei piani sui cicli di patch.
Cosa Cambia Per Chi Gestisce Account Di Consumatori
Per chiunque gestisca l'autenticazione tramite voce o chiamata, o un account aziendale legato a una piattaforma di messaggistica come un account commerciante WeChat Pay, la risposta pratica è accorciare il margine presunto tra la divulgazione di una vulnerabilità e il suo sfruttamento reale nella pianificazione della risposta agli incidenti, e monitorare i vettori di autenticazione basati su voce e chiamate con la stessa serietà di quelli web. Un modello di minaccia che riserva gli exploit a zero clic e autopropaganti solo agli attori statali di alto livello è già superato. Sei settimane sono oggi una cronologia plausibile per un team di ricerca assistito dall'IA, non più solo per uno stato-nazione.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui succede. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun paywall, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non dovrebbe dipendere da chi può permettersi di pagarlo.
Se oggi vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like, o scrivete un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: Il Tuo TV LG Ti Registra Anche Quando Sembra Spento | Il bug da 320 milioni con la patch mai rilasciata
