Uma falha no Telegram para Android permitia que invasores executassem código no celular da vítima após ela atender uma chamada de voz. Descoberta pela empresa de segurança NebuSec, a vulnerabilidade foi corrigida na versão 12.10.4 do aplicativo.
O problema afetava versões entre 8.6.2 e 12.10.3, dentro do período de março de 2022 a setembro de 2026. Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente.
Como funcionava a vulnerabilidade
O erro estava no processamento de mensagens usadas para configurar e informar o estado das chamadas. Quando uma delas não continha todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho.
A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64. No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”, em tradução livre).
Entre as características e limitações identificadas pela empresa estão:
O ataque exigia apenas uma conta comum no Telegram.
A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64.
Não havia evidências de impacto direto nos aplicativos para iOS, computador ou nas chamadas em grupo.
Como verificar a atualização
Para conferir a versão instalada, o usuário deve abrir as configurações do Telegram e consultar o número exibido na parte inferior da página.
