Telegram Android 版漏洞：使用者接聽語音通話即被執行惡意程式

Telegram for Android 的一個缺陷允許攻擊者在受害者接聽語音通話時，在其手機上執行程式碼，安全初創公司 NebuSec 表示。

攻擊者只需一個普通的 Telegram 帳號。Telegram 在 12.10.4 版（於九月底發布）修復了此缺陷，NebuSec 於 10 月 29 日披露。

NebuSec 的聯合創辦人兼執行長在傳送給 The Hacker News 的電子郵件中表示，該缺陷可在 8.6.2 至 12.10.3 之間的每個版本中觸發。這些版本於 2022 年 3 月至 2026 年 9 月發布。

公司已在 ARM64 基礎手機的私人電話通話中確認了此缺陷，並且目前沒有任何證據顯示它直接影響 Telegram 的 iOS、桌面應用程式或群組通話。

任何使用 Telegram for Android 的使用者都應確保應用程式版本為 12.10.4 或更高。版本號顯示在應用程式設定頁面底部。此缺陷截至 10 月 29 日尚無 CVE 編號。

The Hacker News 詢問 NebuSec 和 Telegram 該缺陷是否曾在實際攻擊中被使用，並詢問 NebuSec 攻擊者程式碼在手機上能達到什麼範圍。

在 Telegram 通話過程中，兩個應用程式會互相傳送簡短訊息以建立通話並報告其狀態。其中一種訊息稱為 MediaState，會報告麥克風是否靜音、相機是否開啟，以及影片的旋轉角度。

NebuSec 表示，缺陷存在於讀取 MediaState 訊息的程式碼中。該程式碼未正確處理缺失欄位，並存取了不應該存取的記憶體。

Telegram 的公開原始碼於 12.10.3 版包含符合該描述的缺陷，The Hacker News 的審查發現。當 MediaState 訊息包含旋轉值時，程式碼會檢查該值，然後讀取另一個欄位，即影片狀態，即使訊息中沒有此欄位。

12.10.4 版從正確欄位讀取旋轉值。使用此訊息的呼叫程式碼於 8.6.2 版啟用，這是 NebuSec 所稱的第一個版本。

Telegram 的 Android、iOS 與桌面應用程式共用一個名為 tgcalls 的共享函式庫來處理通話。標題為「修正相機旋轉」的變更於 2026 年 4 月 21 日在 tgcalls 中完成相同修正。

Telegram 的 iOS 原始碼自 12.7 版（五月發布）已包含此變更，桌面版程式碼自 7.0.1 版（七月發布）已包含。Telegram for Android 在九月的 12.10.4 版中接收此更新。

尚未證明早期程式碼能在這些應用程式中被利用。

NebuSec 的影片顯示兩部手機，一部標示為攻擊者，另一部標示為受害者。受害者接受 Telegram 通話，約半分鐘後，手機切換至主畫面，應用程式圖示滑落，並顯示「HACKED BY NEBUSEC」標誌。

影片未顯示受害者手機執行的 Telegram 或 Android 版本。至 10 月 29 日，NebuSec 網站上未提供缺陷的技術說明，故從缺陷到執行程式碼的過程取決於影片與公司所說。

NebuSec，這家由 Y Combinator 支援的初創公司，表示其 Code Security 產品（執行於 OpenAI 的 GPT‑5.4 模型）發現了此缺陷。七月，該公司描述了一條 Android 利用鏈，始於 Firefox 缺陷，並最終攻擊了執行 Android 17 的 ARM64 裝置的核心。

另外，Zero Day Initiative (ZDI) 發布了一份公告於 10 月 15 日，說明 Telegram 應用程式使用的動畫貼紙繪製庫 rlottie 中未修補的缺陷。該缺陷被追蹤為 CVE-2026-111105（CVSS 分數：7.0），若使用者開啟惡意檔案或網頁，攻擊者可能執行程式碼，ZDI 表示。

Telegram 在三月告知 ZDI，其伺服器上的檢查已緩解此缺陷，並於四月要求 ZDI 提供完整的遠端程式碼執行鏈。

研究員 Saifeldeen Aziz 表示，在東京的OffensiveCon 論文摘要中，這些檢查可能被繞過。研究使用 AI 指導的模糊測試，將大量破損或意外輸入餵給程式碼，尋找 rlottie 在 Telegram iOS、Android 與桌面應用中的記憶體破壞漏洞。接著將這些漏洞連結起來，利用貼紙傳遞與檢查方式的缺陷，在 Telegram iOS 上執行程式碼。

根據 Telegram 公佈的原始碼，Android 應用於 6 月的 12.8.1 版與 8 月的 12.10.0 版之間，將 rlottie 換成用 Rust 編寫的 tlottie。桌面應用程式在 9 月也做了同樣的切換，而 iOS 程式碼則於 10 月的 13.0 版加入 tlottie，仍保留 rlottie。

覺得這篇文章有趣嗎？請在 Google News、Twitter 和 LinkedIn 追蹤我們，閱讀更多獨家內容。