Le 29 octobre 2026, NebuSec a divulgué une faille de Telegram pour Android et affirmé qu’elle pouvait participer à une chaîne d’exploitation déclenchée lorsqu’une personne répond à un appel vocal individuel. La version 12.10.4, publiée fin septembre, corrigeait déjà le défaut précis du parseur décrit dans le code.
Versions signalées et condition de l’attaque
NebuSec a désigné les versions 8.6.2 à 12.10.3 de Telegram pour Android comme concernées. La version 12.10.4 est celle présentée comme corrective. NebuSec a indiqué avoir signalé le problème à Telegram le 26 septembre 2026, après la sortie de cette version.
Selon Eten Zou, cofondateur et directeur général de NebuSec, la personne ciblée devait répondre à un appel vocal individuel pour déclencher la chaîne décrite. Il a également indiqué que refuser l’appel ou régler la confidentialité des appels sur « Nobody » empêchait ce déclencheur. NebuSec a dit ne pas avoir observé la faille dans des attaques réelles au 29 octobre 2026.
NebuSec attribue à l’enchaînement de plusieurs failles une possible exécution de code, puis un accès aux messages, au microphone et à la caméra. Eten Zou a aussi rapporté que Telegram avait reconnu le signalement, tout en estimant que le défaut ne pouvait pas être exploité pour exécuter du code à distance.
Ce qui change dans le code entre 12.10.3 et 12.10.4
Dans les messages MediaState, qui transmettent l’état des médias pendant un appel, le parseur de la version 12.10.3 vérifie la présence du champ videoRotation, mais lit la valeur de rotation dans videoState. En 12.10.4, il lit cette valeur dans videoRotation.
| Version de Telegram pour Android | Champ lu pour la rotation |
| 12.10.3 | videoState, après vérification de videoRotation (code de la version 12.10.3) |
| 12.10.4 | videoRotation (code de la version 12.10.4) |
Cette correction porte sur la lecture du champ de rotation dans le parseur. La chaîne d’exploitation, qui associerait ce défaut à une fuite d’informations puis à un exploit permettant d’obtenir les droits root sur Android, est l’analyse rapportée par NebuSec.
Vérifier la version et limiter les appels
Si Telegram pour Android est installé sur votre téléphone, vérifiez son numéro de version et mettez l’application à jour vers la version corrective 12.10.4. Pour réduire le risque lié au déclencheur décrit par NebuSec, vous pouvez aussi refuser les appels individuels ou régler la confidentialité des appels sur « Nobody ».
