В Telegram для Android нашли уязвимость, которая, по данным специалистов NebuSec, позволяла выполнить произвольный код после того, как пользователь ответил на голосовой вызов. Для атаки злоумышленнику достаточно было обычного аккаунта в мессенджере. Уязвимость уже исправлена — самое время обновить приложение.

О проблеме NebuSec сообщила в X. По её словам, дефект присутствовал в версиях Telegram с 8.6.2 по 12.10.3, а исправление появилось в версии 12.10.4, выпущенной в конце сентября.

Причина кроется в обработке служебных сообщений MediaState, которые во время звонка передают данные о микрофоне, камере и повороте видео. Из-за некорректной работы с отсутствующим полем приложение обращалось к памяти вне допустимых границ.

Компания утверждает, что уязвимость обнаружил её продукт Code Security на базе модели GPT-5.4. Эксплуатацию подтвердили для личных звонков на Android-устройствах с архитектурой ARM64.

В опубликованной демонстрации жертва принимает вызов, а примерно через 30 секунд на экране появляется надпись «HACKED BY NEBUSEC». При этом в ролике не указаны версии Telegram и Android, а полный технический разбор цепочки атаки пока не опубликован.

Поэтому выполнение кода пока остаётся заявлением исследователей: масштаб возможного доступа к устройству не раскрыт, а подтверждений реальных атак в дикой природе не приводилось.

Пользователям рекомендуется установить Telegram 12.10.4 или более новую версию. Эта уязвимость не связана с ранее обсуждавшейся атакой через анимированные стикеры.