NebuSec hizo pública el 29 de octubre de 2026 una vulnerabilidad de Telegram para Android. Según la empresa de seguridad, un atacante podía encadenar este fallo con otros dos para ejecutar código si la víctima respondía una llamada de voz individual. NebuSec señaló las versiones 8.6.2 a 12.10.3; la versión 12.10.4 ya corregía el defecto de código identificado.
Qué versiones señaló NebuSec y cómo actualizar
NebuSec situó el rango afectado entre Telegram para Android 8.6.2 y 12.10.3. La versión 12.10.4 se publicó a finales de septiembre de 2026. Eten Zou, cofundador y director ejecutivo de NebuSec, dijo que la empresa notificó el problema a Telegram el 26 de septiembre, después de que esa versión ya se hubiera publicado.
Si tienes instalada una versión incluida en el rango señalado, comprueba la versión de la aplicación y actualiza a Telegram para Android 12.10.4, la versión en la que el analizador ya lee el campo correcto.
La llamada que NebuSec describió como desencadenante
Según NebuSec, el atacante necesitaba una cuenta corriente de Telegram y la víctima debía contestar una llamada de voz individual. Rechazarla evitaba el desencadenante descrito. Eten Zou también señaló que configurar la privacidad de llamadas como «Nadie» bloqueaba esas llamadas.
NebuSec describió una cadena de tres fallos: el defecto de Telegram, una vulnerabilidad de fuga de información que permitiría salir de la aplicación al sistema Android y un exploit de root de Android. Según la empresa, la combinación podía permitir ejecutar código y acceder a mensajes, micrófono y cámara. NebuSec dijo que había probado el problema en llamadas de voz privadas con móviles basados en ARM64.
Zou afirmó que Telegram reconoció el aviso, pero no consideraba que el defecto pudiera convertirse en ejecución remota de código. A 29 de octubre de 2026, NebuSec dijo que no había visto el fallo utilizado en ataques reales.
Qué cambió en el código de Telegram para Android
MediaState es un mensaje de señalización que recoge estados de los medios de una llamada, incluida la rotación del vídeo. Los archivos de Telegram para Android de las versiones 12.10.3 y 12.10.4 muestran el cambio concreto en el analizador:
| Versión de Telegram para Android | Campo del que lee el valor de rotación |
| 12.10.3 | Comprueba videoRotation, pero lee el entero de videoState |
| 12.10.4 | Lee el entero de videoRotation |
