Uma falha no Telegram para Android pode ser combinada com outras duas vulnerabilidades para assumir o controle total do celular da vítima por meio de uma ligação de voz, assim que a vítima atender, segundo a startup de segurança NebuSec.
O atacante precisava apenas de uma conta comum no Telegram. O Telegram corrigiu a falha na versão 12.10.4 do aplicativo, lançada no fim de setembro, e a NebuSec divulgou o problema em 29 de outubro.
Combinada com uma falha de vazamento de informações, a vulnerabilidade dá ao atacante uma saída do aplicativo Telegram para o Android, disse Eten Zou, cofundador e diretor-executivo da NebuSec, ao The Hacker News. Com a adição de uma exploração de acesso root (privilégios de administrador) no Android, o invasor obtém controle total do celular, incluindo mensagens, microfone e câmera.
A falha pode ser acionada em todas as versões entre a 8.6.2 e a 12.10.3, segundo Zou. Essas versões foram lançadas entre março de 2022 e setembro de 2026.
A empresa confirmou o problema em chamadas de voz privadas em celulares com arquitetura ARM64 (ARM de 64 bits) e, até o momento, não tem evidências de que ele afete diretamente os aplicativos do Telegram para iOS e para computadores, nem as chamadas em grupo.
Quem usa o Telegram para Android deve verificar se o aplicativo está na versão 12.10.4 ou superior. O número da versão aparece na parte inferior da página de Configurações do aplicativo. Até 29 de outubro, a falha não tinha identificador CVE (Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades conhecidas).
O ataque depende de a vítima receber a ligação e atendê-la, segundo Zou. Por isso, definir a opção de privacidade de ligações do Telegram como "Ninguém" bloqueia o ataque, assim como recusar a chamada.
A NebuSec não viu a falha ser usada em ataques reais e acredita que ninguém mais havia percebido que ela poderia ser transformada em execução remota de código.
A NebuSec relatou a falha ao Telegram em 26 de setembro, depois que a versão 12.10.4 já havia sido lançada. A empresa reconheceu o relatório, mas não acreditou que a falha pudesse ser transformada em execução remota de código. Por isso, não foi atribuído um CVE nem pago qualquer prêmio por recompensa de falha, segundo Zou. O The Hacker News pediu um posicionamento do Telegram.
Durante uma chamada no Telegram, os dois aplicativos trocam mensagens curtas para iniciar a ligação e informar seu estado. Um dos tipos, chamado MediaState, informa se o microfone está mudo, se a câmera está ligada e como o vídeo está rotacionado.
A falha estava no código que lê as mensagens MediaState. Esse código não tratava corretamente os campos ausentes e acessava áreas de memória que não deveria acessar, segundo a NebuSec.
O código-fonte publicado pelo Telegram para a versão 12.10.3 contém uma falha compatível com essa descrição, segundo uma análise do The Hacker News. Quando uma mensagem MediaState incluía um valor de rotação, o código verificava esse valor. Em seguida, lia outro campo, o estado do vídeo, mesmo quando a mensagem não tinha esse campo.
A versão 12.10.4 lê o valor de rotação do campo correto. O código de chamadas que usa essa mensagem foi ativado na versão 8.6.2, a primeira versão citada pela NebuSec.
Os aplicativos do Telegram para Android, iOS e computadores usam uma mesma biblioteca compartilhada, chamada tgcalls, para as ligações. Uma alteração intitulada "Corrige rotação da câmera" fez a mesma correção no tgcalls em 21 de abril de 2026.
O código-fonte do Telegram para iOS incluiu essa mudança a partir da versão 12.7, lançada em maio, e o código do aplicativo para computadores a incluiu a partir da versão 7.0.1, lançada em julho. O Telegram para Android recebeu a correção na versão 12.10.4, em setembro.
Ainda não foi demonstrado se o código anterior poderia ser explorado nesses aplicativos.
O vídeo da NebuSec mostra dois celulares, um identificado como do atacante e outro como da vítima. A vítima aceita uma ligação no Telegram. Cerca de meio minuto depois do início da chamada, o celular da vítima volta para a tela inicial, os ícones dos aplicativos caem pela tela e aparece a logomarca "HACKED BY NEBUSEC".
O vídeo não mostra qual versão do Telegram ou do Android o celular da vítima estava usando. Até 29 de outubro, não havia no site da NebuSec nenhum relatório técnico detalhado sobre a falha. Por isso, a cadeia de ataque, incluindo as outras duas falhas, depende do vídeo e do que a empresa afirma.
A NebuSec, uma startup apoiada pela Y Combinator, afirma que seu produto Code Security, executado no modelo GPT-5.4 da OpenAI, encontrou a falha. Em julho, a empresa descreveu uma cadeia de exploração para Android que começou com uma falha no Firefox e chegou ao núcleo do sistema (kernel) de um dispositivo ARM64 com Android 17.
Em separado, a Zero Day Initiative (ZDI) publicou um alerta em 15 de outubro sobre uma falha ainda não corrigida na rlottie, biblioteca que os aplicativos do Telegram usam para exibir figurinhas animadas. A falha, identificada como CVE-2026-111105 (pontuação CVSS, Sistema de Pontuação de Vulnerabilidades Comuns: 7,0), pode permitir que um atacante execute código se o usuário abrir um arquivo ou página maliciosa, segundo a ZDI.
Em março, o Telegram disse à ZDI que verificações em seus servidores mitigavam a falha. Em abril, pediu à ZDI uma cadeia completa de execução remota de código.
Essas verificações poderiam ser contornadas, afirma o pesquisador Saifeldeen Aziz no resumo de sua palestra na OffensiveCon, em Tóquio. A pesquisa usou fuzzing guiado por inteligência artificial (IA), técnica que alimenta o código com grandes quantidades de dados malformados ou inesperados, para encontrar falhas de corrupção de memória na rlottie nos aplicativos do Telegram para iOS, Android e computadores. Depois, o pesquisador combinou essas falhas com problemas na forma como as figurinhas são entregues e verificadas para executar código no Telegram para iOS.
Segundo o código-fonte publicado pelo Telegram, o aplicativo para Android substituiu a rlottie pela tlottie, biblioteca escrita em Rust, entre a versão 12.8.1, de junho, e a 12.10.0, de agosto. O código do aplicativo para computadores fez a mesma troca em setembro. O código para iOS adicionou a tlottie na versão 13.0, em outubro, mantendo a rlottie.
(Esta notícia foi atualizada com as respostas de Eten Zou, diretor-executivo da NebuSec, sobre a cadeia de ataque, sobre como os usuários podem bloquear o ataque e sobre a resposta do Telegram ao relatório da NebuSec. A abertura agora informa que a falha foi combinada com outras duas vulnerabilidades. Uma frase sobre a pesquisa com figurinhas também foi corrigida.)
