Telegram Android Açığı: Aramaları Cevaplayan Kullanıcılarda Saldırganlar Kod Çalıştırabiliyor.

Görsel Kaynağı: The Hacker News

Android için Telegram’daki bir açık, saldırganın kurbanın bir sesli görüşmeyi açtıktan sonra telefonunda kod çalışmasına olanak tanıyordu; bunu güvenlik girişimi NebuSec belirtti.

Saldırganın sıradan bir Telegram hesabının yeterli olduğunu belirtti. Telegram, açık eylül sonunda yayınlanan uygulamanın 12.10.4 sürümünde düzeltti ve NebuSec 29 Ekim’de ifşa etti.

Açığın 8.6.2 ile 12.10.3 arasındaki tüm sürümlerde tetiklenebileceğini söyledi NebuSec’in kurucu ortağı ve genel müdürü, The Hacker News’e e-posta ile. Bu sürümler mart 2022 ile eylül 2026 arasında çıktı.

Şirket, ARM64 tabanlı telefonlarda özel telefon görüşmeleriyle doğruladı ve şu ana kadar doğrudan Telegram’ın iOS ve masaüstü uygulamalarını veya grup görüşmelerini etkilediğine dair kanıt yok.

Android için Telegram kullanan herkes uygulamanın 12.10.4 veya daha üst sürümünde olduğundan emin olmalı. Sürüm numarası uygulamanın Ayarlar sayfasının altında görünür. Açığın 29 Ekim’de bir CVE numarası yoktu.

The Hacker News, NebuSec ve Telegram’a açığın gerçek saldırılarda kullanılıp kullanılmadığını sordu ve NebuSec’e bir saldırganın kodunun telefonunda neye ulaşabileceğini sordu.

Telegram görüşmesi sırasında iki uygulama, görüşmeyi kurmak ve durumunu bildirmek için birbirine kısa mesajlar gönderir. MediaState olarak adlandırılan bir tür, mikrofonun kapatılıp kapatılmadığını, kameranın açık olup olmadığını ve videonun nasıl döndürüldüğünü bildirir.

Açık, MediaState mesajlarını okuyan koddaydı. Bu kod eksik alanları doğru işlemiyordu ve olması gereken belleğe erişmiyordu, NebuSec’e göre.

Telegram’ın 12.10.3 sürümü için yayınladığı kaynak kodu, bu tanımla eşleşen bir açık içeriyor; The Hacker News bir inceleme buldu. Bir MediaState mesajı bir döndürme değeri içerdiğinde, kod bu değeri doğruluyordu. Sonra farklı bir alanı, video durumunu okuyordu, mesajda böyle bir alan olmasa bile.

12.10.4 sürümü, döndürme değerini doğru alandan okur. Bu mesajı kullanan çağrı kodu 8.6.2 sürümünde etkinleştirildi, NebuSec’in isimlendirdiği ilk sürüm.

Telegram’in Android, iOS ve masaüstü uygulamaları çağrılar için tgcalls adlı paylaşımlı bir kütüphaneyi kullanıyor. “Fix camera rotation” (kamera döndürme düzeltmesi) olarak etiketlenmiş bir değişiklik, 21 Nisan 2026’da tgcalls üzerinde aynı düzeltmeyi getirdi.

Telegram’in iOS kaynak koduna bu değişiklik Mayıs’ta yayılan 12.7 sürümünden dahil edildi ve masaüstü uygulamanın kodu Temmuz’da çıkan 7.0.1 sürümünden dahil edildi. Telegram Android, Eylül’de 12.10.4 sürümünde bu düzeltmeyi aldı.

Bu daha eski kodun söz konusu uygulamalarda sömürülebilir olup olmadığı gösterilmedi.

NebuSec’in videosunda iki telefon görünüyor, biri saldırgan, diğeri kurban olarak işaretli. Kurban bir Telegram çağrısını kabul ediyor. Çağrının yaklaşık yarım dakikasında curbanın telefonu ana ekrana geçiyor, uygulama simneleri ekran boyunca aşağı düşüyor ve “HACKED BY NEBUSEC” (NEBUSEC TARAFINDAN HACKLENDİ) logosu beliriyor.

Video, curbanın telefonunun hangi Telegram veya Android sürümünü çalıştırdığını göstermiyor. 29 Ekim itibarıyla NebuSec’in web sitesinde açığın teknik bir yazısında bulunmadığından, açktan kod çalıştırmaya giden adım videoya ve şirketin söylediklerine bağlıyor.

Y Combinator tarafından desteklenen startup bir şirket olan NebuSec, OpenAI’nin GPT-5.4 modelinde çalışan Code Security ürünüyle bu açığı bulduğunu söylüyor. Temmuz ayında şirket, bir Firefox açğından başlayıp Android 17 çalışan bir ARM64 cihazın çekirdeğine (kernel) ulaşan bir Android sömürü zinciri tanıttı.

Ayrı olarak Zero Day Initiative (ZDI), 15 Ekim’de Telegram uygulamalarının animasyonlu stickerları çizmek için kullandığı rlottie kütüphanesindeki yamalanmamış bir açık hakkında bir uyarı yayımladı. CVE-2026-111105 olarak takip edilen açık (CVSS puanı: 7.0), bir kullanıcının kötü amaçlı bir dosya veya sayfa açması durumunda bir saldırganın kod çalıştırmasına olanak tanıyabilir, ZDI söyledi.

Telegram, ZDI’ye Mart ayında sunucularındaki kontrollerin açığı azalttığını belirtti ve Nisan ayında ZDI’den tam uzaktan kod çalıştırma zinciri istedi.

Yapılan kontrollerin atlatılabileceğini, araştırmacı Saifeldeen Aziz’in Tokyo’daki OffensiveCon konuşması için hazırladığı özetde belirttiğini aktarıyor. Araştırma, kodu büyük miktarlarda bozuk veya beklenmeyen girdilerle besleyen yapay zekâ yönlü fuzzing yöntemini kullanarak Telegram’ın iOS, Android ve masaüstü uygulamalarında rlottie içinde bellek bozma açıklarını buldu. Ardından, bu açıkları sticker’ların iletilmesi ve doğrulanması sürecindeki kusurlardan kaynaklanan açıkları zincirleyerek Telegram’ın iOS sürümünde kod çalıştırdı.

Telegram’ın yayımladığı kaynak koda göre, Android uygulaması Haziran’daki 12.8.1 sürümü ile Ağustos’taki 12.10.0 sürümü arasında rlottie yerine Rust ile yazılmış bir kütüphane olan tlottie’ı kullandı. Masaüstü uygulamasının kodu Eylül ayında aynı değişikliği yaptı ve iOS kodu Ekim’deki 13.0 sürümünde tlottie’ı eklerken rlottie’ı da dahil etmeye devam etti.