Il 29 ottobre 2026 NebuSec ha reso pubblica una vulnerabilità di Telegram per Android: secondo l’azienda, rispondere a una chiamata vocale individuale poteva attivare una catena di bug fino all’esecuzione di codice. Il difetto del parser individuato nel codice era già corretto nella versione 12.10.4, uscita a fine settembre.
Quali versioni di Telegram per Android sono state indicate
NebuSec ha indicato come coinvolte le versioni dalla 8.6.2 alla 12.10.3. La versione 12.10.4 è quella in cui il codice mostra la correzione del difetto di lettura del campo di rotazione.
Eten Zou, cofondatore e amministratore delegato di NebuSec, ha riferito che l’azienda aveva segnalato il problema a Telegram il 26 settembre, quando la 12.10.4 era già stata rilasciata. La divulgazione pubblica è arrivata il 29 ottobre.
Perché rispondere alla chiamata era rilevante
Secondo NebuSec, per attivare la catena descritta la vittima doveva rispondere a una chiamata vocale individuale su Telegram. L’azienda ha descritto un percorso che avrebbe combinato un bug di divulgazione di informazioni, capace di uscire dall’app, con un exploit root per Android. Secondo questa ricostruzione, la catena avrebbe potuto portare all’esecuzione di codice e al controllo di messaggi, microfono e fotocamera.
NebuSec ha detto di aver verificato il problema con chiamate vocali private su telefoni con architettura ARM64. Zou ha anche riferito che Telegram aveva riconosciuto la segnalazione, ma riteneva che il difetto non potesse essere trasformato in esecuzione di codice da remoto. Al 29 ottobre, NebuSec diceva di non aver osservato la vulnerabilità in attacchi reali.
Che cosa cambia tra 12.10.3 e 12.10.4
I messaggi MediaState riportano lo stato dei media durante una chiamata, compresa la rotazione video. Nei sorgenti di Telegram per Android, il parser delle due versioni legge un campo diverso per ricavare il valore della rotazione:
| Versione di Telegram per Android | Campo usato per il valore della rotazione |
| 12.10.3 | Controlla videoRotation, ma legge il valore da videoState. |
| 12.10.4 | Legge il valore da videoRotation. |
La differenza è visibile nei sorgenti della versione 12.10.3 e della versione 12.10.4. È questa correzione puntuale del parser che il confronto del codice rende visibile; la catena più ampia resta quella descritta da NebuSec.
Come proteggersi dalla condizione descritta
Se usi Telegram per Android, controlla la versione installata e aggiornala alla 12.10.4, indicata come corretta. Per ridurre l’esposizione al trigger descritto, Zou ha indicato anche di rifiutare la chiamata individuale o di impostare la privacy delle chiamate in modo da non riceverne.
