В Telegram для Android обнаружили уязвимость, которая, по утверждению исследователей NebuSec, позволяла выполнить посторонний код на смартфоне после ответа на обычный голосовой звонок. Для атаки достаточно было аккаунта Telegram, а переходить по ссылкам или открывать файлы жертве не требовалось.
Проблема затрагивала версии мессенджера с 8.6.2 по 12.10.3, выпущенные в период с марта 2022 года по сентябрь 2026 года. Таким образом, потенциально опасная ошибка оставалась в Android-клиенте более четырёх лет. Разработчики устранили уязвимость в версии 12.10.4, вышедшей 23 сентября, однако публично о проблеме стало известно только 29 октября, когда NebuSec раскрыла подробности исследования.
Специалисты продемонстрировали атаку на двух смартфонах. Злоумышленник инициировал звонок через Telegram, а пользователь второго устройства принял вызов. Примерно через полминуты смартфон жертвы самостоятельно переключился на главный экран, значки приложений переместились вниз, а на дисплее появилась надпись «HACKED BY NEBUSEC». Исследователи утверждают, что добились выполнения собственного кода на устройстве.
Причиной стала ошибка в обработке служебных сообщений MediaState, которыми приложения Telegram обмениваются во время разговора. Сообщения передают сведения о состоянии микрофона, камеры и повороте видеоизображения. Программа некорректно обрабатывала ситуацию, когда в полученном сообщении отсутствовали некоторые поля, из-за чего могла обращаться к недопустимой области памяти.
Анализ исходного кода Telegram 12.10.3 подтвердил наличие ошибки, соответствующей описанию NebuSec. При проверке параметра поворота видео программа обращалась к другому полю, содержащему состояние видеосвязи. Если такого поля в сообщении не было, возникало некорректное обращение к памяти. В исправленной версии 12.10.4 разработчики изменили обработчик, чтобы считывать значение из правильного поля.
NebuSec проверила возможность атаки во время личных звонков на Android-смартфонах с процессорами архитектуры ARM64. Подтверждений, что аналогичным способом можно атаковать Telegram для iOS, настольные приложения или участников групповых звонков, пока нет. При этом все основные клиенты мессенджера используют общую библиотеку tgcalls, отвечающую за голосовую и видеосвязь.
Интересная деталь обнаружилась в истории изменений tgcalls. Исправление с названием «Fix camera rotation» появилось ещё 21 апреля 2026 года. В клиент для iOS соответствующий код попал в мае, начиная с версии 12.7, а в настольный Telegram в июле, с версии 7.0.1. Android получил аналогичное исправление только в сентябре. Однако наличие прежней ошибки в общем коде не доказывает возможность её эксплуатации на остальных платформах.
Полноценное техническое описание эксплуатации NebuSec пока не опубликовала. В демонстрационном ролике также не указаны точные версии Android и Telegram на атакованном смартфоне. Поэтому наличие ошибки в исходном коде можно проверить независимо, но путь от некорректного обращения к памяти до выполнения произвольного кода пока подтверждается главным образом заявлениями исследователей и представленной видеодемонстрацией.
Неизвестно и то, какие возможности получал злоумышленник после успешной эксплуатации. Выполнение кода внутри приложения не обязательно означает полный контроль над смартфоном, доступ ко всем файлам или обход защитных механизмов Android. На 29 октября нет подтверждённых сведений о применении уязвимости в реальных атаках. Идентификатор CVE для проблемы также пока не присвоен.
По словам NebuSec, обнаружить уязвимость помогла система автоматического анализа безопасности кода, работающая на базе языковой модели GPT-5.4 от OpenAI. Компания разрабатывает инструменты поиска программных ошибок с помощью искусственного интеллекта. Ранее исследователи демонстрировали цепочку эксплуатации уязвимостей Android, начинавшуюся с ошибки в Firefox и позволявшую добраться до ядра операционной системы.
Новая находка появилась на фоне других сообщений о проблемах безопасности Telegram. Всего за день до раскрытия ошибки в голосовых звонках исследователь Саифельдин Азиз представил атаку через стикеры, которая, по его утверждению, позволяла выполнить код на iPhone без каких-либо действий пользователя. В основе лежали ошибки обработки анимации и способы обхода серверных проверок мессенджера. Речь идёт о независимых уязвимостях с разными механизмами эксплуатации.
Пользователям Telegram для Android рекомендуется проверить установленную версию мессенджера. Номер сборки отображается в нижней части раздела «Настройки». Для защиты от описанной атаки требуется версия 12.10.4 или новее. Поскольку злоумышленнику достаточно добиться ответа на звонок, а исправление уже выпущено, обновление приложения остаётся главным способом устранить риск.