Telegram per Android: corretta una falla usata in una exploit chain tramite chiamata vocale
Una falla di Telegram per Android poteva consentire una remote code execution dopo che un utente rispondeva a una chiamata vocale privata, se combinata con altre due vulnerabilità, secondo la società di sicurezza NebuSec. Remote code execution significa far eseguire a un dispositivo istruzioni fornite da un attaccante. Telegram ha corretto la falla nella gestione delle chiamate nella versione 12.10.4, pubblicata a fine settembre, e NebuSec ha reso noti i risultati della propria ricerca il 29 ottobre.
NebuSec ha dichiarato che l'intervallo vulnerabile va da Telegram per Android 8.6.2 fino alla versione 12.10.3, comprendendo le release pubblicate tra marzo 2022 e settembre 2026. La società ha confermato il comportamento nelle chiamate private su telefoni ARM64, che utilizzano una comune architettura di processore presente nei dispositivi mobili. Non ha trovato prove che la falla interessi direttamente le chiamate di gruppo o le applicazioni Telegram per iOS e desktop. L'attacco richiedeva soltanto un normale account Telegram, ma la vittima designata doveva comunque rispondere alla chiamata.
La falla, da sola, costituiva una parte di una exploit chain più ampia. NebuSec ha affermato di aver combinato la vulnerabilità nelle chiamate con un'information leak, un bug che espone dati presenti in memoria, per uscire dai confini dell'app Telegram e raggiungere Android. Un ulteriore root exploit di Android, che permette di ottenere il massimo livello di controllo sul dispositivo, avrebbe quindi potuto dare a un attaccante accesso al telefono, compresi messaggi, microfono e fotocamera. NebuSec ha dichiarato di non aver osservato l'uso della exploit chain in attacchi reali e ritiene che altri non avessero riconosciuto la falla nelle chiamate come una via per ottenere una remote code execution.
Gli utenti dovrebbero aggiornare Telegram per Android alla versione 12.10.4 o successiva. La versione installata è indicata in fondo alla pagina Impostazioni dell'app. Chi non può effettuare l'aggiornamento può bloccare questo specifico vettore tramite chiamata impostando su "Nessuno" l'opzione di privacy di Telegram relativa a chi può chiamare, oppure rifiutando le chiamate in arrivo. Al 29 ottobre, alla falla di Telegram per Android non era stato assegnato alcun identificatore CVE.
NebuSec ha segnalato il problema a Telegram il 26 settembre, quando la versione 12.10.4 era già stata distribuita. Secondo NebuSec, Telegram ha confermato di aver ricevuto la segnalazione, ma non ha concordato sul fatto che la falla potesse essere sviluppata fino a ottenere una remote code execution. NebuSec ha dichiarato che non è stato corrisposto alcun bug bounty e che non è stato assegnato alcun CVE. The Hacker News ha affermato di aver chiesto un commento a Telegram.
L'errore sottostante riguardava i messaggi MediaState scambiati mentre Telegram stabilisce una chiamata e comunica i cambiamenti del suo stato. Questi messaggi possono indicare se il microfono è disattivato, se la fotocamera è attiva e come viene ruotato il video. NebuSec ha dichiarato che il codice ricevente non gestiva in modo sicuro un messaggio privo di un campo, inducendolo ad accedere a una parte della memoria che non avrebbe dovuto leggere.
The Hacker News ha esaminato il codice sorgente pubblicato da Telegram per la versione 12.10.3 e ha trovato codice corrispondente a questa descrizione. Quando un messaggio MediaState forniva un valore di rotazione, il vecchio codice controllava quel valore, ma successivamente leggeva il campo dello stato video anche quando tale campo separato era assente. La versione 12.10.4 legge il valore di rotazione dal campo corretto. Il codice coinvolto nell'elaborazione del messaggio era stato abilitato nella versione 8.6.2, la prima release interessata identificata da NebuSec.
Le applicazioni Telegram per Android, iOS e desktop condividono una libreria per le chiamate denominata tgcalls. Una modifica descritta come correzione della rotazione della fotocamera è stata aggiunta a tale libreria il 21 aprile 2026. Il codice sorgente per iOS l'ha inclusa a partire dalla versione 12.7 di maggio, mentre quello per desktop l'ha incorporata nella versione 7.0.1 di luglio. Android non ha ricevuto la correzione fino alla versione 12.10.4 di settembre. Non è stato dimostrato che il codice precedente fosse sfruttabile su iOS o desktop.
Le prove pubbliche relative alla exploit chain completa rimangono limitate. NebuSec ha pubblicato una dimostrazione che mostra il telefono di un attaccante e quello di una vittima. Dopo che la vittima accetta una chiamata, circa mezzo minuto più tardi il secondo dispositivo torna alla schermata iniziale, le icone delle app si spostano verso il basso e compare un messaggio che segnala la presa di controllo. La registrazione non identifica le versioni di Telegram o Android utilizzate. Al 29 ottobre NebuSec non aveva pubblicato un'analisi tecnica, quindi i dettagli delle due vulnerabilità aggiuntive e della exploit chain completa dipendono attualmente dalla dimostrazione e dalle dichiarazioni della società.
NebuSec, sostenuta da Y Combinator, afferma che il suo prodotto Code Security, eseguito sul modello GPT-5.4 di OpenAI, ha individuato la falla. A luglio, la società aveva inoltre descritto una exploit chain per Android iniziata con una vulnerabilità di Firefox e arrivata al kernel, la parte centrale del sistema operativo, su un dispositivo ARM64 con Android 17.
Un distinto problema di memory safety legato a Telegram interessa rlottie, una libreria utilizzata dalle applicazioni Telegram per visualizzare sticker animati. Il 15 ottobre, la Zero Day Initiative ha pubblicato un avviso relativo a CVE-2026-111105, una falla non corretta con un punteggio di gravità Common Vulnerability Scoring System pari a 7,0. ZDI ha dichiarato che un attaccante poteva eseguire codice se un utente apriva un file o una pagina dannosi. A marzo Telegram ha comunicato a ZDI che i controlli sui propri server mitigavano il problema e ad aprile ha richiesto una exploit chain completa di remote code execution.
L'abstract di una ricerca presentata a OffensiveCon a Tokyo afferma che tali controlli lato server potevano essere aggirati. Il lavoro ha utilizzato il fuzzing guidato dall'AI, che fornisce ripetutamente al software dati non validi o inattesi, per individuare falle di memory corruption in rlottie nelle applicazioni Telegram per Android, iOS e desktop. La ricerca ha quindi combinato tali falle con punti deboli nella distribuzione e nel controllo degli sticker per eseguire codice su Telegram per iOS.
Il codice sorgente pubblicato da Telegram mostra che Android ha sostituito rlottie con una libreria basata su Rust denominata tlottie tra la versione 12.8.1 di giugno e la versione 12.10.0 di agosto. Il codice sorgente per desktop ha apportato la stessa modifica a settembre. Il codice sorgente per iOS ha aggiunto tlottie nella versione 13.0 di ottobre, ma ha continuato a includere rlottie. Per le organizzazioni che valutano i rischi delle app mobili insieme al proprio ambiente più ampio, AEU-I offre servizi IT, infrastrutturali e di consulenza con la sicurezza come priorità.
Per gli utenti e i team IT, l'azione immediata consiste nel verificare che ogni installazione Android utilizzi la versione 12.10.4 o una versione successiva. L'assenza di casi di sfruttamento osservati riduce le prove disponibili di un rischio attivo, ma non sostituisce l'installazione della release corretta né la limitazione delle chiamate sui dispositivi che non possono ancora essere aggiornati.