Hola a todos los lectores de este post.

Vaya que buen amigo 
En un foro de la red tor, había leído algo similar a esto, en un momento whatsapp tenía una vulnerabilidad relacionada con los metadatos (leí todo por arriba, valga la redundancia) por la cual se podía afectar un dispositivo tan solo enviando un mensaje.
Lo que tendrías que hacer es analizar el mensaje primero que nada, comprueba que es lo que manda especificamente y de ahí comienza a sacar tus propias conclusiones y analiza tu télefono con un antivirus.
De todas formas, no especificaste bien que es lo que te sucede (qué tipo de mensaje te envia, si es un link, si es un archivo, etc).
¿No será que el cuando agarra tu télefono simplemente abre un tunel desde conexión web a un dispositivo suyo?
Comprueba esto yendo a Whatsapp > Whatsapp web. En caso de que te salga la opción de escanear el código QR sin más, significa que no está conectado como yo te digo. Pero si te sale alguna sesión activa, cierrala.
Dudo que Whatsapp tenga alguna vulnerabilidad que permita el acceso completo a un dispositivo mediante un mensaje, pero nunca se sabe realmente.

Coincido completamente, saludos.

Hola.
Para aprender vulnerabilidades simplemente tienes que saber como funciona el sitio web y comenzar a realizar tus auditorias.
Existen diversos tipos de vulnerabilidades, pueden estar en el mismo sitio web, o puede ser una vulnerabilidad del vps/webhosting donde el sitio se encuentre.
Desde mi punto de vista lo divertido es aprender, no simplemente buscar formas de alterar la seguridad de un sitio sin saber que es lo que haces, por lo tanto, te recomiendo que siempre hagas algo que te sume aprendizajes que te pueden servir en un futuro, y que evites molestar simplemente por molestar sin tener la noción de que está pasando internamente.
Te dejo el siguiente post de @WHK que te puede servir para iniciarte:
https://foro.elhacker.net/nivel_web/iquestcomo_iniciarse_en_la_seguridad_web-t279791.0.html
También te dejo esta otra sección apodada "bugs y exploits" donde se detallan varias fallas conocidas (tanto en servidores como en aplicaciones web) y una breve explicación de las mismas:
https://foro.elhacker.net/bugs_y_exploits-b32.0/