O eroare din Telegram pentru Android putea permite rularea de cod pe telefonul victimei după ce aceasta răspundea unui apel vocal, potrivit companiei de securitate NebuSec. Vulnerabilitatea, care nu avea identificator CVE la 29 octombrie, a fost remediată în versiunea 12.10.4, lansată la sfârșitul lunii septembrie.
Atacatorului îi era suficient un cont obișnuit de Telegram, afirmă NebuSec. Compania nu a prezentat însă, până la data dezvăluirii, o analiză tehnică publică detaliată care să explice complet cum se ajunge de la eroarea din cod la execuția de cod pe dispozitiv.
Un mesaj despre starea apelului citea câmpul greșit
NebuSec spune că problema afecta versiunile Android de la 8.6.2 până la 12.10.3, distribuite între martie 2022 și septembrie 2026. Cofondatorul și directorul general al companiei a declarat pentru The Hacker News că vulnerabilitatea a fost verificată în apeluri telefonice private, pe dispozitive bazate pe ARM64.
În timpul unui apel Telegram, aplicațiile schimbă mesaje scurte pentru inițierea conexiunii și raportarea stării acesteia. Un asemenea mesaj, numit MediaState, poate indica dacă microfonul este dezactivat, dacă este pornită camera și cum este rotită imaginea video.
Sursă foto: blogger.googleusercontent.com
Potrivit NebuSec, codul care interpreta MediaState nu trata corect câmpurile lipsă și ajungea să acceseze memorie necorespunzătoare. O examinare realizată de The Hacker News asupra codului publicat pentru versiunea 12.10.3 a identificat o eroare compatibilă cu această descriere: după verificarea valorii pentru rotație, programul citea câmpul pentru starea video chiar dacă acesta lipsea din mesaj.
În versiunea 12.10.4, codul citește valoarea rotației din câmpul corect. Apelurile către codul care folosea acest mesaj au fost activate în versiunea 8.6.2, prima versiune indicată de NebuSec ca fiind vulnerabilă.
Demonstrația video nu lămurește întregul lanț de atac
În materialul video publicat de NebuSec apar două telefoane, prezentate drept dispozitivul atacatorului și cel al victimei. După ce victima acceptă apelul, la aproximativ 30 de secunde ecranul telefonului revine la pagina principală, pictogramele aplicațiilor se deplasează, iar pe ecran apare mesajul „HACKED BY NEBUSEC”.
Demonstrația nu precizează ce versiune de Telegram sau de Android rula telefonul victimei. În lipsa unui raport tehnic public, mecanismul care transformă eroarea de gestionare a memoriei în execuție de cod este susținut, deocamdată, de afirmațiile companiei și de imaginile video, nu de o reproducere independentă descrisă pas cu pas.
NebuSec, un startup susținut de Y Combinator, afirmă că produsul său Code Security, bazat pe modelul GPT-5.4 de la OpenAI, a identificat problema. În iulie, compania a prezentat separat un lanț de exploatare Android care pornea de la o vulnerabilitate Firefox și ajungea la nucleul unui dispozitiv ARM64 cu Android 17; acel caz nu demonstrează însă că aceeași tehnică a fost folosită aici.
The Hacker News a solicitat NebuSec și Telegram să precizeze dacă vulnerabilitatea a fost exploatată în atacuri reale și ce resurse ale telefonului putea accesa codul atacatorului. La 29 octombrie, nu era publicată o confirmare privind utilizarea în incidente reale și nici un CVE atribuit vulnerabilității.
Bibliotecile comune nu dovedesc automat un risc identic
Aplicațiile Telegram pentru Android, iOS și desktop folosesc biblioteca comună tgcalls pentru apeluri. O modificare intitulată „Fix camera rotation” a corectat aceeași problemă în tgcalls la 21 aprilie 2026, dar includerea remedierii în versiunile diferite ale aplicațiilor nu dovedește, de una singură, că eroarea putea fi exploatată identic pe toate platformele.
Codul public pentru iOS includea modificarea în versiunea 12.7, lansată în mai, iar aplicația desktop o avea în versiunea 7.0.1, publicată în iulie. Telegram pentru Android a primit corecția în 12.10.4, în septembrie.
NebuSec nu a prezentat dovezi că problema afectează direct aplicațiile iOS sau desktop ori apelurile de grup.
Contextul include și o vulnerabilitate distinctă, semnalată de Zero Day Initiative (ZDI) pe 15 octombrie. Eroarea din rlottie, biblioteca folosită de aplicațiile Telegram pentru afișarea stickerelor animate, este identificată drept CVE-2026-111105 și are scorul CVSS 7.0; ZDI spune că putea permite execuția de cod dacă utilizatorul deschidea un fișier sau o pagină malițioasă.
Telegram i-a transmis ZDI în martie că verificările de pe servere limitau riscul, iar în aprilie a cerut un lanț complet de execuție de cod de la distanță. Cercetătorul Saifeldeen Aziz a susținut în descrierea prezentării sale de la OffensiveCon, organizată la Tokyo, că aceste verificări puteau fi ocolite.
Cercetarea sa a folosit fuzzing ghidat de inteligență artificială pentru a găsi erori de corupere a memoriei în rlottie și a le lega de defecte în livrarea și verificarea stickerelor, demonstrând execuția de cod pe iOS.
Ce trebuie să facă utilizatorii și organizațiile din România
Pentru utilizatorii Android, măsura imediată este verificarea versiunii Telegram și instalarea versiunii 12.10.4 sau a uneia ulterioare. Numărul versiunii apare în partea de jos a paginii Setări.
Actualizarea este importantă chiar dacă nu există confirmări publice privind atacuri, deoarece vulnerabilitatea acoperea o perioadă lungă de versiuni, iar declanșarea descrisă presupunea doar acceptarea unui apel.
Companiile și instituțiile din România și din UE care folosesc Telegram în comunicarea profesională ar trebui să verifice versiunile instalate pe dispozitivele administrate și să includă aplicația în procedurile de actualizare și inventariere. Echipele IT pot cere utilizatorilor să confirme actualizarea, să urmărească versiunile prin instrumentele de administrare disponibile și să trateze sesizările despre comportamente neobișnuite ale telefonului ca pe posibile incidente, fără a presupune că orice apel primit este malițios.
În UE, organizațiile trebuie să evalueze incidentul și prin prisma propriilor obligații de securitate și protecție a datelor, în funcție de utilizarea aplicației și de datele gestionate pe dispozitive. Nu există în materialul public dovezi că datele au fost accesate sau exfiltrate; de aceea, măsurile proporționale sunt actualizarea rapidă, verificarea dispozitivelor și păstrarea evidențelor relevante, nu afirmații nedovedite despre o compromitere generalizată.
