Luka w Telegramie na Androida. Wystarczyło odebrać połączenie

Luka w Telegramie na Androida pozwalała przejąć telefon po odebraniu zwykłego połączenia głosowego od obcej osoby. Podatne były wersje od 8.6.2 do 12.10.3, czyli wszystkie wydane od marca 2022 r. Błąd poprawia wersja 12.10.4 z końca września 2026 r. Jeśli masz Telegrama na Androidzie, sprawdź teraz, którą wersję masz zainstalowaną.

Na czym polegała luka w Telegramie

Podczas rozmowy aplikacje obu rozmówców wymieniają krótkie komunikaty techniczne MediaState. Mówią one, czy rozmówca ma włączony mikrofon i kamerę oraz jak obrócony jest obraz. Kod Telegrama, który je odczytywał, źle radził sobie z komunikatem bez jednego z pól i sięgał do pamięci, do której nie powinien mieć dostępu.

Według badaczy z firmy NebuSec, którzy opisali problem 29 października 2026 r., sam ten błąd nie wystarcza do przejęcia telefonu. Połączyli go jednak z dwoma kolejnymi błędami: jednym pozwalającym wyjść poza aplikację Telegram i drugim dającym uprawnienia administratora (root) w systemie. Na pokazie po około pół minuty rozmowy telefon ofiary sam wracał do ekranu głównego i wyświetlał napis „HACKED BY NEBUSEC”. Taki dostęp oznacza w praktyce wgląd w wiadomości, mikrofon i aparat.

• Co musiał zrobić atakujący: zadzwonić z dowolnego, zwykłego konta Telegram.
• Co musiała zrobić ofiara: odebrać połączenie. Odrzucenie albo zablokowanie połączeń od obcych zatrzymywało atak.
• Kogo dotyczyło: potwierdzono połączenia jeden na jeden w Telegramie na Androida, na telefonach z procesorami ARM64 (czyli praktycznie wszystkich współczesnych). Nie ma dowodów, że problem dotyczy iPhone’ów, wersji na komputery i rozmów grupowych.
• Ataki w praktyce: do czasu publikacji nie zgłoszono przypadków wykorzystania luki poza pokazem badaczy.

Ciekawostka: NebuSec twierdzi, że błąd znalazło ich narzędzie do analizy kodu oparte na modelu GPT-5.4 od OpenAI. Badacze zgłosili lukę 26 września 2026 r., gdy poprawiona wersja była już wydana. Telegram potwierdził zgłoszenie, ale według relacji badaczy nie uznał go za możliwość zdalnego wykonania kodu. Luka nie dostała numeru CVE, a badacze nie dostali nagrody z programu bug bounty.

Druga sprawa: animowane naklejki

Kilka tygodni wcześniej, 15 października 2026 r., Zero Day Initiative (ZDI) opisał inną lukę w Telegramie: CVE-2026-111105 w bibliotece rlottie, która wyświetla animowane naklejki. Błąd pozwala uszkodzić pamięć i wykonać kod, ale wymaga otwarcia przez użytkownika złośliwego pliku albo strony. Ocena CVSS to 7.0 (wysoka).

ZDI zgłosił problem w marcu 2026 r. Telegram odpowiedział, że skutki ogranicza sprawdzanie naklejek na serwerach, i poprosił o pokazanie pełnego ataku. ZDI uznał tę prośbę za niezgodną z dobrymi praktykami i po kilku miesiącach opublikował opis bez poprawki. Telegram na Androida i na komputery zastąpił w tym roku rlottie nową biblioteką tlottie, napisaną w języku Rust, który chroni przed takimi błędami pamięci. Wersja na iOS dostała tlottie w październiku, ale według Sekuraka nadal korzysta też ze starej biblioteki.

Co zrobić teraz

• Zaktualizuj Telegrama: Sklep Play → Telegram → Aktualizuj. Wersję sprawdzisz w Ustawieniach Telegrama, na samym dole ekranu. Musi to być 12.10.4 lub nowsza.
• Ogranicz połączenia od obcych: Ustawienia → Prywatność i bezpieczeństwo → Połączenia. Ustaw „Moje kontakty” albo „Nikt”.
• Nie odbieraj połączeń od nieznanych kont w komunikatorach, zwłaszcza od osób, które nie napisały wcześniej, kim są.
• Ukryj w profilu to, czego nie musisz pokazywać: numer telefonu, zdjęcie i opis widoczne tylko dla kontaktów utrudniają wybranie Cię na cel.
• Aktualizuj też inne aplikacje i sam system Android. Ataki przez połączenia i multimedia to dziś jeden z typowych sposobów na przejęcie telefonu.

Podsumowanie

Sprawa Telegrama pokazuje, że do przejęcia telefonu nie zawsze trzeba klikać w link czy instalować aplikację spoza sklepu. Czasem wystarczy odebrać rozmowę. Poprawka jest dostępna od ponad miesiąca, więc najważniejsze jest sprawdzenie wersji. Przy okazji warto wyłączyć połączenia od nieznajomych, bo to ustawienie chroni też przed lukami, o których jeszcze nikt nie wie.

Źródła: Sekurak, The Hacker News, Zero Day Initiative (ZDI-26-757).