Uma falha no Telegram para Android permitia que um invasor executasse código no celular da vítima depois que ela atendesse a uma chamada de voz, segundo a startup de segurança NebuSec.
Para explorar a falha, bastava ter uma conta comum no Telegram. O problema foi corrigido na versão 12.10.4 do aplicativo, lançada no fim de setembro. A NebuSec divulgou a vulnerabilidade em 29 de outubro.
A falha poderia ser acionada em todas as versões entre a 8.6.2 e a 12.10.3, afirmou por e-mail ao The Hacker News o cofundador e diretor-executivo da NebuSec. Essas versões foram lançadas entre março de 2022 e setembro de 2026.
A empresa confirmou o problema em chamadas privadas realizadas em celulares com processadores ARM64. Até o momento, não há evidências de que a falha afete diretamente os aplicativos do Telegram para iOS e computadores, nem as chamadas em grupo.
Quem usa o Telegram para Android deve atualizar o aplicativo para a versão 12.10.4 ou posterior. O número da versão aparece na parte inferior da página de configurações. Em 29 de outubro, a falha ainda não tinha um identificador CVE.
Segundo o The Hacker News, a publicação perguntou à NebuSec e ao Telegram se a falha havia sido usada em ataques reais. Também questionou a NebuSec sobre quais recursos do celular poderiam ser acessados pelo código de um invasor.
Durante uma chamada pelo Telegram, os dois aplicativos trocam mensagens curtas para estabelecer a conexão e informar seu estado. Um desses tipos de mensagem, chamado MediaState, indica se o microfone está silenciado, se a câmera está ligada e a orientação do vídeo.
A falha estava no código que interpreta mensagens MediaState. Segundo a NebuSec, esse código não tratava corretamente a ausência de determinados campos e acessava uma área da memória indevida.
Uma análise do The Hacker News encontrou, no código-fonte publicado pelo Telegram para a versão 12.10.3, uma falha compatível com essa descrição. Quando uma mensagem MediaState incluía um valor de rotação, o código verificava esse valor e, em seguida, lia outro campo, referente ao estado do vídeo, mesmo que a mensagem não o contivesse.
A versão 12.10.4 passou a ler o valor de rotação no campo correto. O código que usa esse tipo de mensagem foi ativado na versão 8.6.2, a mais antiga citada pela NebuSec.
Os aplicativos do Telegram para Android, iOS e computadores usam uma biblioteca compartilhada para chamadas, chamada tgcalls. Uma alteração identificada como “Corrige rotação da câmera” aplicou a mesma correção à biblioteca em 21 de abril de 2026.
O código-fonte do Telegram para iOS passou a incluir a correção na versão 12.7, lançada em maio. No aplicativo para computadores, ela apareceu na versão 7.0.1, lançada em julho. No Android, chegou com a versão 12.10.4, em setembro.
Ainda não foi demonstrado se o código anterior poderia ser explorado nesses outros aplicativos.
Um vídeo da NebuSec mostra dois celulares, identificados como o do invasor e o da vítima. A vítima atende a uma chamada pelo Telegram. Cerca de 30 segundos depois, o celular volta à tela inicial, os ícones dos aplicativos deslizam pela tela e aparece o logotipo “INVADIDO PELA NEBUSEC”.
O vídeo não informa qual versão do Telegram ou do Android estava instalada no celular da vítima. Em 29 de outubro, a NebuSec ainda não havia publicado uma análise técnica da falha em seu site. Por isso, a demonstração em vídeo e as declarações da empresa são as únicas informações disponíveis sobre como a vulnerabilidade poderia levar à execução de código.
A NebuSec, empresa apoiada pela Y Combinator, afirma que sua ferramenta Code Security, baseada no modelo GPT-5.4 da OpenAI, encontrou a falha. Em julho, a empresa descreveu uma cadeia de exploração no Android que começava com uma falha no Firefox e chegava ao kernel de um dispositivo ARM64 com Android 17.
Separadamente, a Zero Day Initiative (ZDI) publicou em 15 de outubro um alerta sobre uma falha ainda sem correção na rlottie, biblioteca usada pelos aplicativos do Telegram para exibir figurinhas animadas. O problema, identificado como
CVE-2026-111105
e com pontuação CVSS de 7,0, pode permitir que um invasor execute código caso o usuário abra um arquivo ou uma página maliciosa, segundo a ZDI.
Segundo a ZDI, o Telegram informou à iniciativa, em março, que verificações em seus servidores reduziam o risco da falha. Em abril, pediu à ZDI uma cadeia completa de execução remota de código.
Essas verificações poderiam ser contornadas, afirma o pesquisador Saifeldeen Aziz no resumo de sua palestra na OffensiveCon, em Tóquio. A pesquisa usou testes automatizados com entradas inválidas ou inesperadas, guiados por IA, para encontrar falhas de corrupção de memória na rlottie nos aplicativos do Telegram para iOS, Android e computadores. Em seguida, combinou essas falhas, relacionadas à forma como as figurinhas são entregues e verificadas, para executar código no Telegram para iOS.
De acordo com o código-fonte publicado pelo Telegram, o aplicativo para Android substituiu a rlottie pela tlottie, uma biblioteca escrita em Rust, entre as versões 12.8.1, de junho, e 12.10.0, de agosto. O aplicativo para computadores fez a mesma troca em setembro. Já o código para iOS incluiu a tlottie na versão 13.0, em outubro, mas continuou a incluir a rlottie.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...