Una vulnerabilidad en la aplicación de Telegram para Android permitía que un atacante ejecutara código en el teléfono de la víctima mediante una llamada de voz, una vez que esta la contestaba. El hallazgo lo dio a conocer la empresa emergente de seguridad NebuSec.
Para explotar la falla, el atacante solo necesitaba una cuenta común de Telegram. La compañía corrigió el problema en la versión 12.10.4 de la aplicación, lanzada a finales de septiembre, y NebuSec hizo la divulgación pública el 29 de octubre.
Según explicó el cofundador y director ejecutivo de NebuSec en un correo a The Hacker News, la falla podía activarse en todas las versiones desde la 8.6.2 hasta la 12.10.3, publicadas entre marzo de 2022 y septiembre de 2026. La empresa confirmó el comportamiento en llamadas telefónicas privadas con teléfonos basados en ARM64 y, hasta el momento, no tiene evidencia de que afecte directamente a las aplicaciones de Telegram para iOS y escritorio ni a las llamadas grupales.
Quienes usen Telegram para Android deben verificar que la aplicación esté en la versión 12.10.4 o superior. El número de versión aparece en la parte inferior de la página de Configuración de la app. Hasta el 29 de octubre, la falla no contaba con identificador CVE.
The Hacker News consultó a NebuSec y a Telegram sobre si la vulnerabilidad fue aprovechada en ataques reales, y preguntó a NebuSec a qué recursos del teléfono podía llegar el código del atacante.
El origen: el manejo de los mensajes MediaState
Durante una llamada de Telegram, ambas aplicaciones intercambian mensajes cortos para establecer la comunicación y reportar su estado. Uno de esos mensajes, llamado MediaState, informa si el micrófono está silenciado, si la cámara está encendida y cómo está rotado el video.
De acuerdo con NebuSec, la falla estaba en el código que lee los mensajes MediaState. Ese código no manejaba correctamente los campos ausentes y accedía a memoria que no debía. Una revisión de The Hacker News encontró que el código fuente publicado por Telegram para la versión 12.10.3 contiene una falla que coincide con esa descripción: cuando un mensaje MediaState incluía un valor de rotación, el código verificaba ese valor, pero luego leía un campo distinto, el estado del video, incluso si el mensaje no contenía ese campo.
La versión 12.10.4 lee el valor de rotación del campo correcto. El código de llamada que utiliza este mensaje se habilitó en la versión 8.6.2, la primera que menciona NebuSec.
Las aplicaciones de Telegram para Android, iOS y escritorio comparten una biblioteca llamada tgcalls para gestionar las llamadas. Un cambio etiquetado como "Fix camera rotation" aplicó la misma corrección en tgcalls el 21 de abril de 2026. El código fuente de iOS incluyó ese cambio desde la versión 12.7, publicada en mayo, y el de la aplicación de escritorio desde la versión 7.0.1, lanzada en julio. Telegram para Android lo recibió en la versión 12.10.4, en septiembre. No se ha demostrado si el código anterior podía explotarse en esas aplicaciones.
La demostración en video y las dudas pendientes
El video de NebuSec muestra dos teléfonos, uno identificado como atacante y otro como víctima. La víctima acepta una llamada de Telegram. Aproximadamente medio minuto después, el teléfono de la víctima pasa a su pantalla de inicio, los íconos de las aplicaciones caen por la pantalla y aparece un logotipo con el texto "HACKED BY NEBUSEC".
El video no muestra qué versión de Telegram o de Android ejecutaba el teléfono de la víctima. Hasta el 29 de octubre no había en el sitio web de NebuSec ningún informe técnico sobre la falla, por lo que el paso desde la vulnerabilidad hasta la ejecución de código depende del video y de lo que afirma la empresa.
NebuSec, una startup respaldada por Y Combinator, sostiene que su producto Code Security, que funciona con el modelo GPT-5.4 de OpenAI, encontró la falla. En julio, la compañía describió una cadena de explotación para Android que comenzaba con una vulnerabilidad en Firefox y llegaba al kernel de un dispositivo ARM64 con Android 17.
Otro frente: la biblioteca rlottie y los stickers animados
Por separado, la Iniciativa Día Cero (ZDI) publicó el 15 de octubre un aviso sobre una falla sin parche en rlottie, la biblioteca que las aplicaciones de Telegram han usado para dibujar stickers animados. Según ZDI, la falla, registrada como CVE-2026-111105 con una puntuación CVSS de 7.0, puede permitir que un atacante ejecute código si el usuario abre un archivo o una página maliciosos.
Telegram había indicado a ZDI en marzo que las verificaciones en sus servidores mitigaban la falla y en abril le pidió a la agencia una cadena completa de ejecución remota de código. El investigador Saifeldeen Aziz afirma en el resumen de su charla en OffensiveCon en Tokio que esas verificaciones podían eludirse. La investigación utilizó fuzzing guiado por inteligencia artificial, que alimenta el código con grandes cantidades de entradas defectuosas o inesperadas, para encontrar errores de corrupción de memoria en rlottie en las aplicaciones de Telegram para iOS, Android y escritorio. Luego encadenó esos errores, derivados de fallas en la forma en que se entregan y verifican los stickers, para ejecutar código en Telegram para iOS.
Según el código fuente publicado por Telegram, la aplicación para Android reemplazó rlottie por tlottie, una biblioteca escrita en Rust, entre las versiones 12.8.1 de junio y 12.10.0 de agosto. El código de la aplicación de escritorio hizo el mismo cambio en septiembre, y el código de iOS agregó tlottie en la versión 13.0 de octubre, aunque todavía incluye rlottie.
Deja una respuesta