The Hacker News раскрыли уязвимость в Telegram для Android

В приложении Telegram для Android была выявлена уязвимость, которая позволяла злоумышленникам завладеть смартфоном после ответа владельца на голосовой вызов. Компанией она была закрыта в версии 12.10.4, выпущенной в конце сентября, однако информация о данной уязвимости стала публичной только 29 октября, по данным издания The Hacker News.

Если приложение не обновляли продолжительное время, устройство остается под угрозой атаки. Для успешного злоумышленникам достаточно совершить звонок пользователю в мессенджере, отметил сооснователь и генеральный директор NebuSec Этен Зу. Уязвимыми являются версии с 8.6.2 до 12.10.3, которые выходили с марта 2022 по сентябрь 2026 года. Версию можно найти в нижней части страницы настроек приложения, безопасной считается 12.10.4 и более новые версии.

Она не предоставляет полный доступ сама по себе — для этого её комбинируют с двумя другими уязвимостями. Сначала вредоносный код из Telegram проникает в систему Android, затем другая уязвимость в Android предоставляет контроль над устройством, включая доступ к переписке, микрофону и камере. NebuSec подтвердила это в частных звонках на устройствах с процессорами ARM64; сведений о том, что проблема затрагивает приложения для iOS, компьютеры и групповые звонки, не поступало.

Уязвимость возникла из-за ошибки в коде, который обрабатывает служебные сообщения MediaState о состоянии микрофона, камеры и повороте видео. В случае отсутствия этого поля, программа обращалась к памяти, которой не должна была. Этот недочет также был исправлен в общей библиотеке для звонков tgcalls 21 апреля 2026 года.

Ранее эксперт пояснил, как уберечься от взлома при использовании уязвимой версии Telegram.