Falha no Telegram para Android permitia invadir celular ao atender ligação
A empresa de segurança NebuSec encontrou uma falha que permitia tomar controle de celulares Android só com o usuário atendendo a uma chamada no Telegram. O problema já foi corrigido numa atualização recente do app.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A NebuSec, startup de cibersegurança que identificou e reportou a falha ao Telegram, descobriu uma vulnerabilidade no Telegram para Android que permitia assumir o controle total de um celular apenas com a vítima atendendo a uma chamada de voz no aplicativo. Não era preciso clicar em nada além de aceitar a ligação.
O problema estava na forma como o app processava mensagens técnicas chamadas MediaState, trocadas automaticamente entre os dois celulares durante uma chamada. O código validava um campo da mensagem, mas depois lia informações de um campo diferente e opcional que não havia sido checado, causando uma leitura de memória fora dos limites previstos. Encadeada a outras duas falhas, essa brecha permitia execução de código no aparelho da vítima. A NebuSec confirmou que o ataque funcionava em celulares com processadores ARM64, que são a maioria dos Android atuais.
Foto: reprodução/blog.ostorlab.co
Para explorar a falha, o atacante só precisava de uma conta comum do Telegram, sem privilégios especiais, e de fazer a vítima atender a chamada.
Quem é afetado
Todas as versões do Telegram para Android lançadas entre março de 2022 e setembro de 2026 estavam vulneráveis, da 8.6.2 até a 12.10.3. O Telegram para iOS e o Telegram Desktop já haviam recebido correções para o mesmo tipo de problema meses antes, em maio e julho, respectivamente; o Android foi a última plataforma a ser corrigida.
A falha não recebeu um identificador CVE: o Telegram avaliou o relatório da NebuSec e não considerou que o bug pudesse ser transformado em execução remota de código com confiabilidade suficiente para justificar um CVE ou pagamento de recompensa (bug bounty).
O que fazer agora
- Atualize o Telegram para a versão 12.10.4 ou mais recente pela Play Store imediatamente;
- Caso ainda não tenha atualizado, configure a opção de privacidade de chamadas do app para Nobody (ninguém), o que bloqueia o vetor de ataque;
- Recusar chamadas de contatos desconhecidos também neutraliza o risco enquanto a atualização não é instalada;
- Não é necessário trocar senha ou reinstalar o app; a correção de software já resolve o problema nas versões atualizadas.