Telegram для Android исправил уязвимость, позволявшую выполнить код через голосовой звонок

Опасную уязвимость в Telegram для Android обнаружила команда NebuSec. Для атаки хватало обычного аккаунта в мессенджере и одного голосового вызова — ни прав администратора, ни физического доступа к устройству не требовалось. После ответа на звонок код злоумышленника мог исполниться на смартфоне.

Ошибка крылась в обработке служебных сообщений MediaState. Приложение некорректно работало с отсутствующим полем и обращалось к недопустимой области памяти. Это открывало дорогу к атаке на устройствах с ARM64. В демонстрации NebuSec через полминуты после принятия вызова на экране появлялась надпись «HACKED BY NEBUSEC», показывающая возможное выполнение кода. Полный технический разбор не опубликован, реальных атак не зафиксировано.

Проблема затрагивает версии с 8.6.2 по 12.10.3. Исправление вышло в конце сентября в релизе 12.10.4. NebuSec нашли уязвимость с помощью собственного инструмента Code Security на базе языковой модели GPT-5.4.

Telegram как корпоративный канал под ударом

Российский бизнес давно использует Telegram для рабочих коммуникаций — там обсуждают проекты, передают конфигурации и доступы. Уязвимость, активируемая простым звонком, особенно опасна для целевых атак: достаточно узнать номер или username сотрудника. Скомпрометированное устройство открыло бы злоумышленнику доступ и к личным перепискам, и к корпоративным чатам.

Рекомендуется обновить Telegram на Android

Проверьте версию мессенджера на всех устройствах с ARM64. Если сборка ниже 12.10.4 — установите обновление через официальный магазин приложений. Администраторам мобильного парка стоит принудительно запустить проверку через MDM-профили. Дополнительная мера: напомнить сотрудникам не принимать голосовые вызовы с незнакомых аккаунтов.