Уязвимость Telegram для Android в версиях с 8.6.2 по 12.10.3 могла стать частью атаки, которая начиналась с обычного голосового вызова и после ответа жертвы приводила к выполнению кода. Исследователи NebuSec утверждают, что при добавлении ещё двух ошибок цепочка позволяла получить полный контроль над устройством: доступ к сообщениям, микрофону и камере.
Проблему закрыли в Telegram для Android 12.10.4, выпущенном в конце сентября. О публичном раскрытии 29 октября сообщает The Hacker News. Для атаки злоумышленнику, по данным NebuSec, был нужен лишь стандартный аккаунт Telegram: никаких вредоносных APK, ссылок и предварительного контакта с устройством не требовалось. Однако пользователь должен был принять входящий приватный звонок.
Ошибка находилась в обработке служебного сообщения MediaState, которым участники вызова обмениваются при настройке и во время разговора. В нём передаются, в частности, состояние микрофона, камеры и ориентация видео. Код некорректно работал с отсутствующими полями: после проверки значения поворота он мог обратиться к другому полю, даже если его в сообщении не было. Это открывало путь к некорректному доступу к памяти.
Сам по себе такой сбой не равен автоматическому взлому смартфона. Сооснователь и генеральный директор NebuSec Этен Зоу рассказал изданию, что исследователи объединили его с ошибкой утечки информации, чтобы выйти из песочницы Telegram в Android, а затем — с отдельным root-эксплойтом. Именно третий компонент давал контроль над системой. Полные технические детали цепочки компания пока не опубликовала, поэтому независимой оценки её воспроизводимости и затронутых версий Android нет.
Тем не менее исправление в исходном коде выглядит предметно. В версии 12.10.4 приложение начало считывать значение поворота из корректного поля. Вызовы Telegram используют общую библиотеку tgcalls, и аналогичная правка под названием «Исправление поворота камеры» появилась там 21 апреля 2026 года. В исходниках iOS она присутствовала начиная с Telegram 12.7, выпущенного в мае, а в десктопном клиенте — с версии 7.0.1 в июле. Исследователи не показали, что прежний код можно эксплуатировать на iOS, ПК или в групповых звонках; подтверждение относится к приватным вызовам на ARM64-устройствах Android.
Для российских команд это ещё один неприятный, но полезный урок о границах «безопасного» мессенджера. Звонок в привычном приложении часто воспринимается как менее рискованный канал, чем файл или ссылка. В реальности мультимедийные протоколы обрабатывают сложные структуры данных, работают с кодеками и системными API, а значит, остаются заметной поверхностью атаки. Особенно это касается корпоративных устройств, где Telegram используют для оперативной связи, поддержки клиентов и координации проектов.
Практическая рекомендация проста: проверить, что установлен Telegram 12.10.4 или новее. Номер версии отображается внизу страницы настроек приложения. До обновления риск снижают отказ от незнакомых вызовов и настройка приватности звонков на «Никто» — в таком случае атакующий не сможет инициировать нужное соединение. IT-администраторам имеет смысл включить проверку версии Telegram в мобильные политики, если мессенджер допускается на рабочих Android-устройствах.
История примечательна и реакцией Telegram. NebuSec сообщила о находке 26 сентября — уже после выпуска исправленной версии, — но, по словам Зоу, компания признала баг, не согласившись, что его можно превратить в удалённое выполнение кода. Поэтому идентификатор CVE и вознаграждение в рамках bug bounty на 29 октября не появились. Это не доказывает ни отсутствия риска, ни готовности атаки для массового применения: NebuSec говорит, что не видела её использования в реальных инцидентах.
На фоне этой находки вспоминается октябрьское предупреждение Zero Day Initiative об уязвимости CVE-2026-111105 в библиотеке анимированных стикеров rlottie с оценкой CVSS 7.0. Telegram для Android между версиями 12.8.1 и 12.10.0 заменил rlottie на написанную на Rust библиотеку tlottie. Но смена одного компонента не отменяет главного правила мобильной безопасности: сложный код обработки медиа и звонков требует обновлений так же срочно, как браузер или ОС. В качестве подтверждения исследователи показали демонстрацию атаки; первоисточник с деталями и позицией NebuSec доступен в .
