В Telegram для Android нашли уязвимость, позволяющую выполнить код на смартфоне

В Telegram для Android обнаружена уязвимость, через которую можно было выполнить код на смартфоне жертвы после ответа на голосовой звонок. Об этом сообщает «Код Дурова». Уязвимость была найдена стартапом NebuSec с помощью продукта Code Security, работающего на модели GPT-5.4 от OpenAI. Атакующему требовался обычный аккаунт Telegram.

Ошибка заключалась в коде, обрабатывающем служебные сообщения MediaState. Приложение неправильно обрабатывало отсутствующие поля и обращалось к памяти, к которой не должно было. Уязвимыми были все версии Telegram для Android с 8.6.2 по 12.10.3, выпущенные с марта 2022 по сентябрь 2026 года. Исправление вошло в версию 12.10.4, вышедшую в конце сентября.