Telegram para Android tem falha que permitia invasão de celular ao atender chamada
Falha no Telegram para Android permitia execução de código após atender chamada de voz; correção está na versão 12.10.4.
Uma falha de segurança no Telegram para Android permitia que invasores executassem código no celular da vítima depois que ela atendia uma chamada de voz. A vulnerabilidade foi descoberta pela empresa de segurança NebuSec e já foi corrigida na versão 12.10.4 do aplicativo.
Segundo a NebuSec, o problema atingia as versões entre 8.6.2 e 12.10.3, em uso no período de março de 2022 a setembro de 2026. Por isso, quem usa o aplicativo no celular Android precisa conferir se a versão instalada é a corrigida ou uma mais recente.
O erro estava no processamento das mensagens usadas para configurar a chamada e informar o seu estado. Quando uma dessas mensagens chegava sem todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho, abrindo espaço para a invasão.
Em uma demonstração, a NebuSec executou código em uma chamada privada atendida em um celular com processador ARM64. No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC”, que significa “invadido pela NebuSec”.
Para conferir a versão, abra as configurações do Telegram e consulte o número exibido na parte inferior da página. Se ele for 12.10.4 ou superior, a falha já foi corrigida no aparelho.
A correção chegou primeiro às versões para iPhone e computador. Como os aplicativos compartilham uma biblioteca usada nas chamadas de voz e vídeo, o ajuste já estava incorporado aos códigos dessas plataformas antes de ser levado ao Android.
Até esta quinta-feira (29), a vulnerabilidade ainda não tinha um identificador CVE, código usado para catalogar falhas de segurança. Também não se sabe se ela foi explorada em ataques reais nem qual é o alcance do código executado no aparelho, pontos que foram questionados ao Telegram e à NebuSec.
Enquanto essas dúvidas não são esclarecidas, a recomendação é manter o aplicativo sempre atualizado e conferir a versão instalada, especialmente se a chamada de voz vier de contatos desconhecidos.
