C’est ce qu’on appelle une attaque zero-click, comprenez une attaque qui ne nécessite aucune action de la victime, pas le moindre appui sur un bouton, pas la moindre ouverture de lien.
La société de cybersécurité californienne Calif a annoncé, le 8 septembre 2026, avoir mis au point un ver informatique qui aurait pu compromettre les comptes de plus d’un milliard d’utilisateurs actifs de WeChat, l’application de messagerie omniprésente en Chine.
Pour en attester, Calif a publié une démonstration vidéo. Un téléphone appelle un autre, et en quelques secondes, le compte WeChat du destinataire bascule sous le contrôle de l’attaquant, sans que la cible n’ait décroché, ni même touché son écran.
Comment ça marche, et pourquoi l’IA change tout
Si l’attaque fonctionne aussi bien sur iOS qu’Android, c’est parce que la faille se loge dans la pile VoIP de WeChat, le composant technique qui gère les appels audio et vidéo dans l’application.
Il s’agit d’un bug de corruption de mémoire : en envoyant des données malformées au moment où le téléphone reçoit un appel, l’attaquant parvient à exécuter du code sur l’appareil cible avant même que quiconque réponde.
Une fois le compte compromis, le ver prend seul le relais et puise dans la liste de contacts de la victime et recompose des appels, propageant l’infection de proche en proche.
La seule échappatoire est de refuser l’appel immédiatement. Décrocher ou laisser sonner, et le compte est compromis. « Nous pouvons lire et envoyer des messages, passer des appels et agir au nom de la victime. Combiné à d’autres failles Android et iOS (…), cela peut permettre de prendre le contrôle total de l’appareil », avancent les chercheurs.
Les chercheurs soulignent par ailleurs le rôle central de l’IA dans leurs travaux : « Grâce à l’intelligence artificielle, notre équipe a découvert la faille et a écrit le premier exploit d’exécution de code à distance (RCE) en deux jours environ. La création du ver a pris une semaine supplémentaire. Auparavant, un ver de cette envergure nécessitait des mois de travail pour une équipe importante. »
Une divulgation maîtrisée, un correctif déployé
Calif affirme avoir respecté les règles de la divulgation responsable. L’entreprise a alerté Tencent, la société mère de WeChat, dès juillet 2026. Le géant chinois a publié des mises à jour de l’application pour iOS et Android le 21 août, avant de confirmer fin août que l’exploit avait été neutralisé côté serveur pour l’ensemble des utilisateurs, sans qu’aucune action ne soit requise de leur part.
Les détails techniques les plus sensibles ne sont pas encore rendus publics, Calif prévoit de les présenter lors d’une prochaine conférence de sécurité. L’entreprise assure par ailleurs n’avoir aucune preuve que la faille ait été exploitée dans la nature avant sa divulgation.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !