NebuSec maakte op 29 oktober 2026 bekend dat een fout in Telegram voor Android volgens het bedrijf, in combinatie met twee andere bugs, code-uitvoering mogelijk kon maken nadat iemand een één-op-één-spraakoproep beantwoordde. De codecorrectie stond al in versie 12.10.4, die volgens The Hacker News eind september was uitgebracht.
Welke versies noemde NebuSec?
NebuSec noemde Telegram voor Android-versies 8.6.2 tot en met 12.10.3 als getroffen. Versie 12.10.4 bevat de correctie voor de parserfout. The Hacker News meldde dat NebuSec de fout op 26 september bij Telegram had gemeld, nadat versie 12.10.4 al was uitgebracht.
Volgens NebuSec kon een aanvaller met een gewoon Telegram-account bellen. De beschreven aanval vereiste dat de gebruiker de één-op-één-spraakoproep beantwoordde. NebuSec stelde dat een informatielek de aanvaller vervolgens uit de Telegram-app naar Android kon laten ontsnappen, waarna een aparte Android-rootexploit mogelijk toegang tot berichten, microfoon en camera zou geven.
Eten Zou, medeoprichter en directeur van NebuSec, zei dat Telegram de melding had erkend, maar niet dacht dat de fout tot uitvoering van code op afstand kon leiden. NebuSec zei op 29 oktober dat het de fout niet in echte aanvallen had waargenomen.
Wat veranderde er in de broncode?
De parser verwerkt MediaState-berichten, met onder meer gegevens over de videostand. In de broncode van versie 12.10.3 controleert de parser of videoRotation aanwezig is, maar leest hij de rotatiewaarde uit videoState. In versie 12.10.4 leest de parser de waarde uit videoRotation.
| Telegram voor Android | Veld waaruit de parser de rotatiewaarde leest |
| 12.10.3 | videoState |
| 12.10.4 | videoRotation |
De vergelijking laat de veldmismatch in 12.10.3 en de correctie in 12.10.4 zien. Ze toont niet hoe de aanvullende bugs samen een volledige aanval zouden opleveren. NebuSec zei dat zijn tests plaatsvonden tijdens privégesprekken op telefoons met een ARM64-processor.
Wat kunnen gebruikers doen?
Controleer welke versie van Telegram voor Android is geïnstalleerd en werk de app bij naar de gemelde gecorrigeerde versie 12.10.4. Eten Zou noemde ook het weigeren van een één-op-één-oproep of het instellen van de oproepprivacy op ‘Niemand’ als maatregelen tegen de beschreven oproeptrigger.
