Een kwetsbaarheid in Telegram voor Android kon, samengevoegd met twee andere bugs, worden gebruikt om volledige controle over de telefoon van een slachtoffer te krijgen via een spraakoproep zodra het slachtoffer opnam, aldus beveiligingsstartup NebuSec.
De aanvaller had slechts een gewoon Telegram-account nodig. Telegram verholp de kwetsbaarheid in versie 12.10.4 van de app, uitgebracht eind september, en NebuSec maakte de ontdekking bekend op 29 oktober.
In combinatie met een informatielekbug geeft de kwetsbaarheid de aanvaller volgens NebuSec-medeoprichter en ceo Eten Zou aan The Hacker News een uitweg van de Telegram-app naar Android. Een toevoeging van een Android-root-exploit geeft daarna volledige controle over de telefoon, inclusief berichten, microfoon en camera.
Volgens Zou kan de fout worden geactiveerd in alle versies van 8.6.2 tot en met 12.10.3. Die versies werden uitgebracht tussen maart 2022 en september 2026.
Het bedrijf bevestigde de fout in privégesprekken op ARM64-gebaseerde telefoons en heeft tot nu toe geen bewijs dat de kwetsbaarheid direct effect heeft op Telegrams iOS- en desktop-apps of op groepsgesprekken.
Iedereen die Telegram voor Android gebruikt, moet controleren of de app versie 12.10.4 of later draait. Het versienummer staat onderaan de Instellingen-pagina van de app. De fout had op 29 oktober nog geen CVE-identificatie.
De aanval vereist dat het slachtoffer wordt gebeld en opneemt, zei Zou, dus het instellen van Telegrams belprivacyoptie op “Nobody” blokkeert de aanval, en hetzelfde geldt voor het weigeren van de oproep.
NebuSec heeft de fout niet in echte aanvallen gezien en denkt dat niemand anders had ingezien dat deze tot remote code execution omgezet kon worden.
NebuSec meldde de fout aan Telegram op 26 september, nadat versie 12.10.4 al was uitgebracht. Telegram bevestigde de melding maar geloofde niet dat de fout tot remote code execution omgezet kon worden, dus er werd geen CVE toegekend en er werd geen bug bounty uitbetaald, zei Zou. The Hacker News heeft Telegram om commentaar gevraagd.
Tijdens een Telegram-gesprek sturen de twee apps korte berichten naar elkaar om het gesprek op te zetten en de status te rapporteren. Eén type bericht, MediaState genoemd, rapporteert of de microfoon gedempt is, of de camera aanstaat en hoe de video geroteerd is.
De fout zat in de code die MediaState-berichten uitleest. Die code ging niet correct om met ontbrekende velden en las geheugen uit dat niet had moeten worden gelezen, aldus NebuSec.
De gepubliceerde broncode van Telegram voor versie 12.10.3 bevat een fout die overeenkomt met die beschrijving, vond een review door The Hacker News. Wanneer een MediaState-bericht een rotatiewaarde bevatte, controleerde de code die waarde. Vervolgens las zij echter een ander veld, de videostatus, ook als het bericht dat veld niet bevatte.
Versie 12.10.4 leest de rotatiewaarde uit het juiste veld. De aanroepende code die dit bericht gebruikt, werd ingeschakeld in versie 8.6.2, de eerste versie die NebuSec noemt.
De Android-, iOS- en desktop-apps van Telegram gebruiken één gedeelde bibliotheek, tgcalls genoemd, voor oproepen. Een wijziging met het label “Fix camera rotation” bracht op 21 april 2026 dezelfde correctie aan in tgcalls.
De iOS-broncode van Telegram bevatte die wijziging al vanaf versie 12.7, uitgebracht in mei, en de desktopcode vanaf versie 7.0.1, uitgebracht in juli. Telegram voor Android kreeg de wijziging in versie 12.10.4 in september.
Of de eerdere code in die apps uitgebuit kon worden, is niet aangetoond.
De video van NebuSec toont twee telefoons, één als aanvaller en één als slachtoffer. Het slachtoffer accepteert een Telegram-oproep. Ongeveer een halve minuut na het begin van het gesprek schakelt de telefoon van het slachtoffer over naar het startscherm, vallen de app-pictogrammen naar beneden en verschijnt er een logo met “HACKED BY NEBUSEC”.
De video laat niet zien welke Telegram- of Android-versie de telefoon van het slachtoffer draaide. Op 29 oktober stond er geen technische uitwerking van de fout op NebuSecs website, dus de keten van aanvalsstappen, inclusief de twee andere bugs, is afhankelijk van de video en van wat het bedrijf zegt.
NebuSec, een door Y Combinator gesteunde startup, zegt dat zijn Code Security-product, dat draait op OpenAI’s GPT-5.4-model, de fout vond. In juli beschreef het bedrijf een Android-exploitketen die begon met een fout in Firefox en doordrong tot de kernel van een ARM64-apparaat met Android 17.
Los daarvan publiceerde de Zero Day Initiative (ZDI) op 15 oktober een waarschuwing over een onbehandelde kwetsbaarheid in rlottie, de bibliotheek die Telegram-apps gebruikten om geanimeerde stickers te tekenen. De fout, gevolgd als CVE-2026-111105 (CVSS-score: 7.0), kan een aanvaller code laten uitvoeren als een gebruiker een kwaadaardig bestand of pagina opent, zei ZDI.
Telegram had ZDI in maart verteld dat controles op zijn servers de fout mitigeren, en vroeg ZDI in april om een volledige remote code execution-keten.
Die controles konden worden omzeild, zegt onderzoeker Saifeldeen Aziz in de samenvatting van zijn OffensiveCon-toespraak in Tokio. Het onderzoek gebruikte door AI geleide fuzzing — waarbij code wordt gevoed met grote hoeveelheden kapotte of onverwachte input — om geheugen‑corruptiebugs in rlottie te vinden in Telegrams iOS-, Android‑ en desktop-apps. Hij ketende die bugs vervolgens aan problemen in hoe stickers worden geleverd en gecontroleerd om code op Telegram voor iOS uit te voeren.
De Android-app verving rlottie tussen versie 12.8.1 in juni en 12.10.0 in augustus door tlottie, een bibliotheek geschreven in Rust, volgens de gepubliceerde broncode van Telegram. De desktopcode maakte dezelfde overstap in september, en de iOS-code voegde tlottie toe in versie 13.0 in oktober terwijl rlottie nog steeds werd opgenomen.
(Dit artikel is bijgewerkt met antwoorden van NebuSecs ceo Eten Zou over de aanvalsketen, hoe gebruikers de aanval kunnen blokkeren en hoe Telegram reageerde op NebuSecs melding. De inleiding vermeldt nu dat de fout met twee andere bugs werd gecombineerd. Ook is een zin over het stickeronderzoek gecorrigeerd.)
