Москва30 октВести.В приложении Telegram для Android обнаружена уязвимость, позволяющая захватить смартфон после того, как владелец ответит на голосовой звонок. Компания закрыла ее в версии 12.10.4, выпущенной в конце сентября, но информация о дыре была раскрыта только 29 октября, сообщило издание The Hacker News.
Если приложение на смартфоне давно не обновляли, он остается уязвим для атаки. Злоумышленникам достаточно позвонить пользователю в мессенджере, пояснил изданию сооснователь и гендиректор NebuSec Этен Зу. Уязвимы версии с 8.6.2 по 12.10.3, выходившие с марта 2022 по сентябрь 2026 года; номер версии виден внизу страницы настроек приложения, безопасной считается 12.10.4 и новее.
Сама по себе ошибка полного доступа не дает - ее соединяют с двумя другими уязвимостями. Сначала вредоносный код выходит из Telegram в систему Android, затем отдельная уязвимость Android дает контроль над аппаратом, включая переписку, микрофон и камеру. NebuSec подтвердила это в частных звонках на телефонах с процессорами ARM64; сведений о том, что проблема затрагивает приложения для iOS и компьютеров и групповые звонки, нет.
Уязвимость появилась из-за ошибки в коде, который читает служебные сообщения MediaState о состоянии микрофона, камеры и повороте видео: при отсутствии поля программа обращалась к памяти, к которой не должна. Тот же недочет исправили в общей библиотеке для звонков tgcalls 21 апреля 2026 года.
Ранее эксперт рассказал, как можно избежать взлома при использовании вредоносной версии Telegram.
