Falha no Telegram para Android permitia invasão ao atender chamada
Tudo sobre Android
Uma falha no Telegram para Android permitia que invasores executassem código no celular da vítima após ela atender uma chamada de voz. Descoberta pela empresa de segurança NebuSec, a vulnerabilidade foi corrigida na versão 12.10.4 do aplicativo.Continua após a publicidadeO problema afetava versões entre 8.6.2 e 12.10.3, dentro do período de março de 2022 a setembro de 2026. Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente.
Falha fazia o código do Telegram acessar indevidamente uma área de memória do dispositivo durante a ligação. Imagem: Christian Wiediger/Unsplash
Como funcionava a vulnerabilidadeO erro estava no processamento de mensagens usadas para configurar e informar o estado das chamadas. Quando uma delas não continha todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho.A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64. No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”, em tradução livre).Entre as características e limitações identificadas pela empresa estão:
O ataque exigia apenas uma conta comum no Telegram.
A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64.
Não havia evidências de impacto direto nos aplicativos para iOS, computador ou nas chamadas em grupo.
Remember when scam callers only ask for your password? Good times.Now picking up a wrong call can get you hacked.Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4.Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse.Fixed in Telegram Android… pic.twitter.com/EOmPf14OIS— NebuSec (@nebusecurity) October 29, 2026
Como verificar a atualizaçãoPara conferir a versão instalada, o usuário deve abrir as configurações do Telegram e consultar o número exibido na parte inferior da página. A versão 12.10.4 corrige a falha.
Embora os aplicativos compartilhem uma biblioteca utilizada nas chamadas de voz e vídeo, a correção já havia sido incorporada aos códigos das versões para iPhone e computador antes de chegar ao Android.Em 29 de outubro, a vulnerabilidade ainda não tinha um identificador CVE, utilizado para catalogar falhas de segurança. O The Hacker News informou que questionou o Telegram e a NebuSec sobre o uso da vulnerabilidade em ataques reais e sobre o alcance do código executado no aparelho.
Valdir Antonelli
Valdir Antonelli é jornalista com especialização em marketing digital e consumo.
Ver todos os artigos →
