Ответил на звонок в Telegram, и телефон взломан: дыре было 4 года

Чтобы взломать Android-смартфон через Telegram, хватало одного звонка. Жертве не нужно было ничего открывать или нажимать по ссылкам, достаточно просто взять трубку. Об этом рассказали исследователи из стартапа NebuSec и показали ролик: на одном телефоне подпись «атакующий», на другом «жертва». Жертва принимает вызов, примерно через полминуты разговора её смартфон сам выкидывает на рабочий стол, значки приложений осыпаются вниз, и на экране появляется надпись «HACKED BY NEBUSEC».

Дыра жила в Telegram для Android больше четырёх лет: под удар попадают все версии с 8.6.2 по 12.10.3, вышедшие с марта 2022 по сентябрь 2026 года. Ошибка сидела в коде, который во время звонка обрабатывает служебные сообщения MediaState. Через них приложения сообщают друг другу, выключен ли микрофон, включена ли камера и как повёрнуто видео. Если в таком сообщении не хватало части полей, программа лезла в память, куда ей лезть нельзя. Для атаки злоумышленнику нужен был самый обычный аккаунт Telegram.

Самое ироничное: нашла уязвимость не команда хакеров, а ИИ. По словам NebuSec, ошибку выловила их система анализа кода на базе GPT-5.4 от OpenAI. Сами исследователи в посте с роликом пошутили, что превратили «модель-динозавра» в кибероружие.

Telegram уже закрыл дыру в версии 12.10.4, она вышла в конце сентября, а публично о проблеме рассказали только сейчас. Проверка опубликованного исходного кода версии 12.10.3 подтверждает ошибку, которая совпадает с описанием. Атаку проверили на личных звонках на Android-смартфонах с процессорами ARM64. Доказательств, что так же можно атаковать Telegram на iPhone, компьютере или в групповых звонках, пока нет, хотя библиотека звонков у всех версий общая. Технический разбор NebuSec не опубликовала, номера CVE у уязвимости нет, и сведений об атаках на реальных людей тоже нет. Что именно получал взломщик после звонка, тоже пока не раскрыто.

Это уже вторая громкая история про Telegram за два дня: накануне другой исследователь показал взлом iPhone через стикеры, мы писали об этом здесь. Уязвимости разные и между собой не связаны.

Итог: зайдите в настройки Telegram и посмотрите номер версии в самом низу. Если там меньше 12.10.4, обновитесь прямо сейчас, а не после следующего звонка с незнакомого номера.