Em 29 de outubro de 2026, a NebuSec divulgou uma falha no Telegram para Android e afirmou que atender a uma chamada de voz individual poderia acionar uma cadeia de vulnerabilidades com execução de código. A versão 12.10.4, lançada no fim de setembro, já trazia a correção do defeito de leitura no código.
A NebuSec informou que comunicou o problema à Telegram em 26 de setembro, depois que a versão 12.10.4 já havia sido lançada. A empresa também disse que não havia observado o defeito em ataques reais até a divulgação de 29 de outubro.
Quais versões do Telegram para Android foram apontadas?
A NebuSec apontou as versões 8.6.2 a 12.10.3 como afetadas. A versão 12.10.4 foi indicada como corrigida. O intervalo é o que a empresa relatou; a mudança de código descrita abaixo aparece nas versões 12.10.3 e 12.10.4.
O que mudou entre as versões 12.10.3 e 12.10.4?
Mensagens MediaState carregam informações sobre o estado da mídia, incluindo a rotação do vídeo. Na versão 12.10.3, o parser verifica o campo videoRotation, mas lê o valor de rotação em videoState. Na versão 12.10.4, ele lê o valor de videoRotation.
| Versão do Telegram para Android | Campo verificado para rotação | Campo lido para obter o valor |
| 12.10.3 | videoRotation | videoState |
| 12.10.4 | videoRotation | videoRotation |
A diferença mostra a divergência entre o campo conferido e o campo lido em 12.10.3, corrigida em 12.10.4. A NebuSec atribuiu a possível execução de código a uma cadeia que combinaria esse defeito com outras vulnerabilidades.
Qual era o papel de atender a uma chamada?
Segundo a NebuSec, o ataque descrito exigia que a vítima atendesse a uma chamada de voz individual no Telegram. A empresa afirmou que uma conta comum do Telegram seria suficiente para fazer a ligação e que recusá-la impediria o gatilho relatado.
A NebuSec descreveu uma cadeia que combinaria o defeito com uma vulnerabilidade de vazamento de informações para sair do aplicativo e uma exploração de root no Android. Segundo a empresa, a sequência poderia levar à execução de código e ao controle de mensagens, microfone e câmera. Eten Zou afirmou que a Telegram reconheceu o relato, mas não acreditava que o defeito pudesse ser transformado em execução remota de código.
O que os usuários do Telegram para Android devem fazer?
Confira a versão instalada e atualize para a 12.10.4, indicada como corrigida. Como medida contra o gatilho relatado, Zou também apontou recusar chamadas individuais ou configurar a privacidade das chamadas para “Ninguém”.
