Telegram для Android можно было взломать одним звонком

В Telegram для Android обнаружили уязвимость, которая позволяла выполнить код на смартфоне, если пользователь отвечал на голосовой звонок. Уязвимость нашёл стартап NebuSec.

Атакующему хватало обычного аккаунта Telegram.

По данным компании, ошибку обнаружил её продукт Code Security, который работает на модели GPT-5.4 от OpenAI. NebuSec опубликовала видео атаки, где после приёма звонка примерно через полминуты Telegram закрывается, а на рабочем столе смартфона появляется надпись «HACKED BY NEBUSEC».

Ошибка находилась в коде, который обрабатывает служебные сообщения MediaState. Во время звонка приложения обмениваются ими, чтобы передать, выключен ли микрофон, включена ли камера и как повёрнуто видео. Код неправильно обрабатывал отсутствующие поля и обращался к памяти, к которой не должен был.

По данным NebuSec, уязвимы все версии Telegram для Android с 8.6.2 по 12.10.3, вышедшие с марта 2022 по сентябрь 2026 года. Исправление вошло в версию 12.10.4, которая вышла в конце сентября. Свидетельств того, что ошибка затрагивает приложения для iOS и компьютеров или групповые звонки, нет.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.