Falha no Telegram Android permitia invasão ao atender chamada privada

Uma falha no Telegram para Android permitia que invasores executassem código no celular da vítima após ela atender uma chamada de voz. A vulnerabilidade, detectada pela empresa de segurança NebuSec, estava presente nas versões do aplicativo entre 8.6.2 e 12.10.3, com o período de existência desde março de 2022 até setembro de 2026. A correção foi lançada na versão 12.10.4 do aplicativo.

O erro ocorria durante o processamento de mensagens usadas para configurar e informar o estado das chamadas. Quando uma mensagem não continha todos os campos esperados, o código acessava indevidamente uma área de memória do dispositivo. A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64, resultando na exibição da mensagem 'HACKED BY NEBUSEC' após o Telegram ser fechado.

Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente do aplicativo. Isso pode ser feito acessando as configurações do Telegram e consultando o número exibido na parte inferior da página. A falha não afetava aplicativos para iOS, computador ou chamadas em grupo, mas exigia uma conta comum no Telegram para ser explorada.