Telegram Android 漏洞允许攻击者在用户接听语音通话时运行代码

据安全初创公司 NebuSec 称，Telegram for Android 中的一个缺陷可与其他两个缺陷串联，在受害者接听语音通话后，通过一通电话完全控制其手机。

攻击者只需要一个普通的 Telegram 账户。Telegram 于 9 月底发布的 12.10.4 版本中修复了该缺陷，NebuSec 于 10 月 29 日予以披露。

NebuSec 联合创始人兼首席执行官 Eten Zou 告诉 The Hacker News，与一个信息泄露缺陷相结合，该缺陷使攻击者得以从 Telegram 应用逃逸到 Android。再加上一个 Android root 漏洞利用，即可完全控制手机，包括其消息、麦克风和摄像头。

Zou 表示，该缺陷可在 8.6.2 至 12.10.3 的每个版本中触发。这些版本于 2022 年 3 月至 2026 年 9 月间发布。

该公司在基于 ARM64 的手机的私人语音通话中确认了它，且迄今没有证据表明它直接影响 Telegram 的 iOS 和桌面应用或群组通话。

任何使用 Telegram for Android 的人都应确保应用处于 12.10.4 或更高版本。版本号显示在应用设置页面的底部。截至 10 月 29 日，该缺陷没有 CVE 编号。

Zou 表示，该攻击需要受害者被呼叫并接听，因此将 Telegram 的通话隐私选项设置为 "Nobody" 可以阻止它，拒接来电也可以。

NebuSec 尚未看到该缺陷被用于真实攻击，并认为没有其他人意识到它可以被转化为远程代码执行。

NebuSec 于 9 月 26 日向 Telegram 报告了该缺陷，当时 12.10.4 版本已发布。Zou 表示，Telegram 确认收到报告，但不相信该缺陷可以被转化为远程代码执行，因此未分配 CVE，也未支付漏洞赏金。The Hacker News 已请求 Telegram 发表评论。

在 Telegram 通话期间，两个应用相互发送短消息以建立通话并报告其状态。其中一种称为 MediaState，报告麦克风是否静音、摄像头是否开启以及视频如何旋转。

该缺陷存在于读取 MediaState 消息的代码中。据 NebuSec 称，该代码未能正确处理缺失的字段，并访问了它不应访问的内存。

The Hacker News 的一项审查发现，Telegram 发布的 12.10.3 版本源代码包含一个与该描述相符的缺陷。当 MediaState 消息包含旋转值时，代码会检查该值。然后它读取另一个字段——视频状态——即使消息没有这样的字段。

12.10.4 版本从正确的字段读取旋转值。使用该消息的通话代码在 8.6.2 版本中被启用，这是 NebuSec 点名的第一个版本。

Telegram 的 Android、iOS 和桌面应用使用一个共享库 tgcalls 进行通话。2026 年 4 月 21 日，tgcalls 中一项标记为 "Fix camera rotation" 的更改做出了相同的修正。

Telegram 的 iOS 源代码自 5 月发布的 12.7 版本起包含该更改，桌面应用代码自 7 月发布的 7.0.1 版本起包含。Telegram for Android 于 9 月在 12.10.4 版本中收到它。

较早的代码在这些应用中是否可被利用尚未被展示。

NebuSec 的视频显示两部手机，一部标记为攻击者，一部标记为受害者。受害者接听一个 Telegram 通话。通话进行约半分钟后，受害者的手机切换到主屏幕，应用图标沿屏幕落下，并出现一个 "HACKED BY NEBUSEC" 标志。

视频未显示受害者手机运行的 Telegram 或 Android 版本。截至 10 月 29 日，NebuSec 网站上没有关于该缺陷的技术文章，因此该攻击链（包括另外两个缺陷）依赖于视频和该公司的说法。

NebuSec 是一家由 Y Combinator 支持的初创公司，称其运行在 OpenAI 的 GPT-5.4 模型上的 Code Security 产品发现了该缺陷。7 月，该公司描述了一条始于 Firefox 缺陷、到达运行 Android 17 的 ARM64 设备内核的 Android 漏洞利用链。

另外，Zero Day Initiative（ZDI）于 10 月 15 日发布了一份关于 rlottie 中一个未修补缺陷的公告——rlottie 是 Telegram 应用用于绘制动画贴纸的库。ZDI 表示，该缺陷被追踪为 CVE-2026-111105（CVSS 评分：7.0），如果用户打开恶意文件或页面，可让攻击者运行代码。

Telegram 曾于 3 月告诉 ZDI，其服务器上的检查缓解了该缺陷，并于 4 月要求 ZDI 提供完整的远程代码执行链。

研究员 Saifeldeen Aziz 在其东京 OffensiveCon 演讲的摘要中表示，这些检查可以被绕过。该研究使用 AI 引导的模糊测试——向代码输入大量损坏或意外的输入——在 Telegram 的 iOS、Android 和桌面应用的 rlottie 中发现了内存损坏缺陷。随后它将这些缺陷与贴纸投递和检查方式中的缺陷串联，在 Telegram for iOS 上运行代码。

据 Telegram 公布的源代码，Android 应用在 6 月的 12.8.1 版本至 8 月的 12.10.0 版本之间用 tlottie（一个用 Rust 编写的库）替换了 rlottie。桌面应用代码于 9 月做出了相同的切换，iOS 代码于 10 月在 13.0 版本中加入了 tlottie，同时仍包含 rlottie。