Betroffen ist der VoIP-Stack von WeChat, also der Teil der Anwendung, der Sprach- und Videoanrufe abwickelt. Calif beschreibt den Fehler als Speicherkorruption und hält technische Einzelheiten bis zu einem Konferenzvortrag zurück. Der Angriff läuft während des eingehenden Anrufs: Das Opfer muss nach Darstellung der Firma weder abheben noch das Telefon berühren.
Damit wird die Lücke wurmfähig. Ein übernommenes Konto erbt die Vertrauensstellung des Opfers und ruft dessen Kontakte an – Calif fasst das als „Attacker calls victim, victim becomes attacker, victim calls the next victim“ zusammen. Voraussetzung ist, dass der Angreifer zu Beginn in der Kontaktliste des ersten Opfers steht.
Die Zeitleiste der Firma: Im Juli 2026 habe „unsere KI“ den Fehler entdeckt, am 23. Juli sei das Entwicklungsteam darauf aufmerksam geworden, am 24. Juli ging die Meldung an Tencent. Zwischen dem 25. und 28. Juli wurden Konten der Forschenden gesperrt, am 30. Juli stand der erste Android-Exploit, am 2. August der für iOS und am 11. August die ausgearbeitete Wurm-Demo. Am 28. August war der Angriff nach Califs Darstellung für alle Nutzer wirkungslos, elf Tage später folgte die Offenlegung.
Die Rollenverteilung benennt Calif selbst: „Working with AI, our team found the bug and wrote the first remote code execution (RCE) exploit in about two days“ – der Wurm habe eine weitere Woche gebraucht, und das eigene Team habe entschieden, was angegriffen und wie sicher getestet wird. Welches Modell zum Einsatz kam, nennt die Firma nirgends.
Unabhängig überprüft ist bislang nichts davon: weder die Zahl der erreichbaren Konten noch der Anteil des Modells an der Entdeckung. Eine CVE-Kennung für WeWorm nennt Calif nicht, eine Prämie ebenso wenig.