Dobësia në Telegram Android u korrigjua pas një exploit chain përmes thirrjeve zanore
Një dobësi në Telegram Android mund të lejonte ekzekutimin e kodit pasi një përdorues t’i përgjigjej një thirrjeje zanore private, kur kombinohej me dy dobësi të tjera, sipas kompanisë së sigurisë NebuSec. Termi remote code execution nënkupton ta bësh një pajisje të ekzekutojë udhëzime të dhëna nga një sulmues. Telegram e korrigjoi dobësinë në trajtimin e thirrjeve në versionin 12.10.4, të publikuar në fund të shtatorit, ndërsa NebuSec i bëri publike gjetjet e saj më 29 tetor.
NebuSec tha se diapazoni i cenueshëm shtrihet nga Telegram për Android 8.6.2 deri në 12.10.3, duke përfshirë versionet e publikuara midis marsit 2022 dhe shtatorit 2026. Kompania e konfirmoi këtë sjellje në thirrjet private në telefonat ARM64, të cilët përdorin një arkitekturë të zakonshme procesori që gjendet në pajisjet mobile. Ajo nuk ka gjetur prova se dobësia prek drejtpërdrejt thirrjet në grup ose aplikacionet e Telegram për iOS dhe desktop. Sulmi kërkonte vetëm një llogari të zakonshme Telegram, por viktima e synuar duhej gjithsesi t’i përgjigjej thirrjes.
Dobësia më vete ishte vetëm një pjesë e një exploit chain më të madh. NebuSec tha se e bashkoi dobësinë e thirrjeve me një information leak, një bug që ekspozon të dhëna nga memoria, për të dalë jashtë aplikacionit Telegram dhe për të arritur në Android. Më pas, një root exploit shtesë për Android, i cili siguron nivelin më të lartë të kontrollit mbi pajisjen, mund t’i jepte një sulmuesi qasje në telefon, përfshirë mesazhet, mikrofonin dhe kamerën e tij. NebuSec tha se nuk e ka vërejtur përdorimin e këtij exploit chain në sulme reale dhe beson se të tjerët nuk e kishin identifikuar dobësinë e thirrjeve si një rrugë drejt remote code execution.
Përdoruesit duhet ta përditësojnë Telegram për Android në versionin 12.10.4 ose më të ri. Versioni i instaluar shfaqet në fund të faqes së Cilësimeve të aplikacionit. Personat që nuk mund ta bëjnë përditësimin mund ta parandalojnë këtë rrugë specifike përmes thirrjeve duke e ndryshuar cilësimin e privatësisë së thirrjeve në Telegram në "Askush" ose duke refuzuar thirrjet hyrëse. Dobësia në Telegram Android nuk kishte një identifikues CVE deri më 29 tetor.
NebuSec ia raportoi problemin Telegram më 26 shtator, pasi versioni 12.10.4 ishte publikuar tashmë. Sipas NebuSec, Telegram e pranoi raportin, por nuk ra dakord se dobësia mund të zhvillohej në remote code execution. NebuSec tha se nuk u pagua asnjë bug bounty dhe nuk u caktua asnjë CVE. The Hacker News tha se i kishte kërkuar Telegram një koment.
Gabimi themelor përfshinte mesazhet MediaState që shkëmbehen ndërsa Telegram vendos një thirrje dhe komunikon ndryshimet në statusin e saj. Këto mesazhe mund të përshkruajnë nëse mikrofoni është çaktivizuar, nëse kamera është aktive dhe si rrotullohet videoja. NebuSec tha se kodi marrës nuk e trajtonte në mënyrë të sigurt një mesazh me një fushë që mungonte, duke bërë që ai të hynte në një zonë të memories që nuk duhej ta lexonte.
The Hacker News shqyrtoi kodin burimor të publikuar nga Telegram për versionin 12.10.3 dhe gjeti kod që përputhej me këtë përshkrim. Kur një mesazh MediaState jepte një vlerë rrotullimi, kodi i vjetër e kontrollonte atë vlerë, por më pas lexonte fushën e gjendjes së videos, edhe kur ajo fushë e veçantë mungonte. Versioni 12.10.4 e lexon vlerën e rrotullimit nga fusha e duhur. Kodi i thirrjeve i përfshirë në përpunimin e mesazhit u aktivizua në versionin 8.6.2, i cili është versioni i parë i prekur i identifikuar nga NebuSec.
Aplikacionet e Telegram për Android, iOS dhe desktop përdorin bashkërisht një bibliotekë thirrjesh të quajtur tgcalls. Një ndryshim i etiketuar si korrigjim i rrotullimit të kamerës iu shtua asaj biblioteke më 21 prill 2026. Kodi burimor i iOS e përfshiu atë duke filluar nga versioni 12.7 në maj, ndërsa kodi burimor për desktop e përfshiu në versionin 7.0.1 në korrik. Android nuk e mori korrigjimin deri në versionin 12.10.4 në shtator. Nuk është demonstruar se kodi i mëparshëm mund të shfrytëzohej në iOS ose desktop.
Provat publike për exploit chain e plotë mbeten të kufizuara. NebuSec publikoi një demonstrim që tregonte telefonin e një sulmuesi dhe telefonin e një viktime. Pasi viktima pranon një thirrje, pajisja e dytë kthehet në ekranin bazë rreth gjysmë minute më vonë, ikonat e aplikacioneve të saj lëvizin poshtë në ekran dhe shfaqet një mesazh për marrjen e kontrollit. Regjistrimi nuk identifikon versionet e Telegram ose Android që po përdoren. Deri më 29 tetor, NebuSec nuk kishte publikuar një analizë teknike, ndaj hollësitë e dy dobësive shtesë dhe të exploit chain të plotë varen aktualisht nga demonstrimi dhe deklaratat e kompanisë.
NebuSec, e cila mbështetet nga Y Combinator, thotë se produkti i saj Code Security, që funksionon me modelin GPT-5.4 të OpenAI, e gjeti dobësinë. Në korrik, kompania përshkroi gjithashtu një Android exploit chain që fillonte me një dobësi në Firefox dhe arrinte deri te kernel, pjesa qendrore e sistemit operativ, në një pajisje ARM64 me Android 17.
Një problem i veçantë i memory safety, i lidhur me Telegram, prek rlottie, një bibliotekë që përdoret nga aplikacionet Telegram për të shfaqur sticker-a të animuar. Zero Day Initiative publikoi më 15 tetor një njoftim për CVE-2026-111105, një dobësi të pakorrigjuar me rezultat ashpërsie 7.0 sipas Common Vulnerability Scoring System. ZDI tha se një sulmues mund të ekzekutonte kod nëse një përdorues hapte një skedar ose faqe keqdashëse. Telegram i tha ZDI në mars se kontrollet në serverët e tij e zbusnin problemin dhe kërkoi në prill një exploit chain të plotë për remote code execution.
Një përmbledhje e kërkimit të paraqitur në OffensiveCon në Tokio thotë se ato kontrolle të serverëve mund të anashkaloheshin. Puna përdori fuzzing të udhëhequr nga AI, i cili i jep vazhdimisht softuerit të dhëna të keqformuara ose të papritura, për të identifikuar dobësi të memory corruption në rlottie në aplikacionet e Telegram për Android, iOS dhe desktop. Më pas, kërkimi i kombinoi këto dobësi me mangësi në dërgimin dhe kontrollimin e sticker-ave për të ekzekutuar kod në Telegram për iOS.
Kodi burimor i publikuar nga Telegram tregon se Android e zëvendësoi rlottie me një bibliotekë të bazuar në Rust, të quajtur tlottie, midis versionit 12.8.1 në qershor dhe versionit 12.10.0 në gusht. Kodi burimor për desktop bëri të njëjtin ndryshim në shtator. Kodi burimor i iOS shtoi tlottie në versionin 13.0 në tetor, por vazhdoi të përfshinte rlottie. Për organizatat që shqyrtojnë rrezikun e aplikacioneve mobile së bashku me mjedisin e tyre më të gjerë, AEU-I ofron shërbime IT, infrastrukturë dhe konsulencë me sigurinë si përparësi.
Për përdoruesit dhe ekipet e IT-së, veprimi i menjëhershëm është të verifikojnë se çdo instalim në Android është në versionin 12.10.4 ose më të ri. Mungesa e rasteve të vërejtura të shfrytëzimit i pakëson provat e disponueshme për një rrezik aktiv, por nuk e zëvendëson instalimin e versionit të korrigjuar ose kufizimin e thirrjeve në pajisjet që ende nuk mund të përditësohen.