Уязвимость в Telegram для Android позволяла выполнить код на телефоне через голосовой звонок

Уязвимость в Telegram для Android позволяла злоумышленнику выполнить код на телефоне жертвы через голосовой звонок — после того как жертва отвечала на вызов. Об этом сообщил стартап NebuSec, специализирующийся на безопасности. Для атаки достаточно было обычного аккаунта Telegram.

Telegram устранил ошибку в версии 12.10.4, вышедшей в конце сентября, а NebuSec раскрыл сведения о ней 29 октября. По словам сооснователя и генерального директора компании, уязвимость присутствует во всех версиях с 8.6.2 по 12.10.3, то есть в выпусках с марта 2022 по сентябрь 2026 года. NebuSec подтвердил её в личных звонках на смартфонах с архитектурой ARM64; данных о том, что она напрямую затрагивает iOS- и десктопные версии или групповые звонки, пока нет.

Пользователям Telegram для Android рекомендуется убедиться, что установлена версия 12.10.4 или новее; номер версии указан внизу страницы настроек. На 29 октября идентификатор CVE уязвимости не присвоен. The Hacker News запросил у NebuSec и Telegram, использовалась ли ошибка в реальных атаках.

Что именно сломалось

Во время звонка приложения обмениваются служебными сообщениями. Одно из них, MediaState, сообщает, выключен ли микрофон, включена ли камера и как повёрнуто видео. По данным NebuSec, код, разбирающий MediaState, некорректно обрабатывал отсутствующие поля и обращался к памяти, к которой не должен был.

The Hacker News изучил опубликованный исходный код версии 12.10.3 и нашёл соответствующую ошибку: если в сообщении был указан поворот, код проверял это значение, но затем читал другое поле — состояние видео, даже если его в сообщении не было. В версии 12.10.4 поворот читается из правильного поля.

Android-, iOS- и десктопные клиенты используют общую библиотеку звонков tgcalls. Исправление с пометкой «Fix camera rotation» появилось в ней 21 апреля 2026 года, в коде iOS-клиента — с версии 12.7 (май), в десктопном — с 7.0.1 (июль). Android-версия получила его лишь в сентябре. Можно ли было эксплуатировать старый код на других платформах, не показано.

Демонстрация и ИИ

NebuSec опубликовал видео: жертва принимает вызов, примерно через полминуты телефон переходит на главный экран, иконки приложений осыпаются вниз, и появляется надпись «HACKED BY NEBUSEC». Версии Telegram и Android на видео не указаны, а технического описания на сайте компании на 29 октября нет, поэтому переход от ошибки к выполнению кода подтверждается только видео и словами компании.

NebuSec, стартап из портфеля Y Combinator, утверждает, что уязвимость нашёл его продукт Code Security на базе модели OpenAI GPT-5.4.

Заодно о стикерах

Отдельно Zero Day Initiative 15 октября опубликовала сведения о неисправленной уязвимости CVE-2026-111105 (CVSS 7.0) в библиотеке rlottie, которой Telegram отрисовывает анимированные стикеры. Telegram заявлял, что проверки на серверах снижают риск, однако исследователь Сайфельдин Азиз утверждает, что их можно обойти: с помощью фаззинга под управлением ИИ он нашёл ошибки повреждения памяти и собрал из них цепочку для выполнения кода в Telegram для iOS. Android-клиент тем временем перешёл на библиотеку tlottie на Rust, десктопный — в сентябре, а iOS-версия добавила её в 13.0, сохранив и rlottie.

Источник: The Hacker News