NebuSec erklärte am 29. Oktober 2026, eine Sicherheitslücke in Telegram für Android könne nach ihrer Einschätzung zusammen mit zwei weiteren Fehlern Codeausführung ermöglichen, wenn jemand einen Einzelanruf annimmt. Der konkrete Parserfehler war in Version 12.10.4 korrigiert, die laut einem Bericht von The Hacker News bereits Ende September erschienen war.
Welche Telegram-Versionen waren betroffen?
NebuSec nannte Telegram für Android in den Versionen 8.6.2 bis 12.10.3 als betroffen. Als korrigierte Version wurde 12.10.4 angegeben. Eten Zou, Mitgründer und CEO von NebuSec, sagte The Hacker News zufolge, NebuSec habe Telegram am 26. September über den Fehler informiert, nachdem Version 12.10.4 bereits erschienen war.
Welche Rolle spielte der Sprachanruf?
Laut NebuSec musste die betroffene Person einen Einzelanruf über Telegram annehmen. Ein gewöhnliches Telegram-Konto habe genügt, um den Anruf auszulösen. NebuSec beschrieb eine Angriffskette, bei der der Parserfehler mit einer Informationslücke und einem separaten Android-Root-Exploit verbunden werde. Dadurch könnten Angreifer nach Darstellung des Unternehmens Zugriff auf Nachrichten, Mikrofon und Kamera erhalten.
Zou zufolge hielt Telegram den Fehler nicht für geeignet, um damit Codeausführung zu erreichen. NebuSec sagte zum Stand vom 29. Oktober, das Unternehmen habe die Lücke nicht in realen Angriffen beobachtet.
Was änderte sich zwischen Version 12.10.3 und 12.10.4?
Der Fehler steckte in der Auswertung einer MediaState-Nachricht. Der Parser von Version 12.10.3 prüfte, ob videoRotation vorhanden war, las den Rotationswert dann aber aus videoState. In Version 12.10.4 liest der Parser den Wert aus videoRotation.
Die Telegram-Quelltexte für Version 12.10.3 und Version 12.10.4 zeigen den Unterschied direkt:
| Telegram für Android | Zugriff auf den Rotationswert |
| Version 12.10.3 | Prüft videoRotation, liest den Wert aus videoState |
| Version 12.10.4 | Liest den Wert aus videoRotation |
Welche Version sollten Nutzer installieren?
Prüfe die Versionsnummer deiner Telegram-App für Android und aktualisiere auf Version 12.10.4. Als Maßnahmen gegen den beschriebenen Anruf-Auslöser nannte Zou, einen Einzelanruf abzulehnen oder die Anrufprivatsphäre auf „Niemand“ zu stellen.
