Uma falha no Telegram para Android permitia a um atacante executar código no contexto da aplicação quando a vítima atendia uma chamada de voz. A vulnerabilidade afetava versões distribuídas desde março de 2022 e foi corrigida em setembro de 2026, mas os detalhes da exploração só foram divulgados publicamente a 29 de outubro.
A descoberta foi apresentada pela empresa de cibersegurança NebuSec, que demonstrou o ataque em telemóveis Android com arquitetura ARM64. Segundo os investigadores, bastava uma conta normal do Telegram e que a vítima atendesse a chamada. Não era necessário abrir uma ligação ou instalar um ficheiro.
Como funcionava a falha no Telegram
De acordo com a investigação publicada pelo The Hacker News, o problema estava no processamento das mensagens técnicas que os dispositivos trocam durante uma chamada.
Uma dessas mensagens, denominada MediaState, comunica informações sobre o estado do microfone, da câmara e da orientação do vídeo. O código da aplicação não verificava corretamente a presença de determinados campos, o que podia provocar acessos indevidos à memória.
A análise do código-fonte do Telegram confirmou a existência deste erro na versão 12.10.3 e a respetiva correção na versão 12.10.4.
A NebuSec afirma que a vulnerabilidade permitia executar código remotamente. Combinada com uma segunda falha que expunha informação e uma terceira vulnerabilidade no Android capaz de conceder privilégios de administrador (root), poderia permitir o controlo total do telemóvel, incluindo o acesso a mensagens, microfone e câmara.
Esta distinção é importante. A vulnerabilidade do Telegram, por si só, não demonstrava a capacidade de ultrapassar todas as proteções do sistema operativo. Além disso, a empresa ainda não publicou uma descrição técnica completa da cadeia de exploração, pelo que parte das capacidades anunciadas permanece dependente da sua demonstração.
Telegram corrigiu a falha antes da divulgação pública
Segundo a NebuSec, as versões afetadas situam-se entre a 8.6.2 e a 12.10.3, lançadas entre março de 2022 e setembro de 2026.
A correção chegou ao Telegram para Android na versão 12.10.4, disponibilizada no final de setembro. A empresa de segurança comunicou a descoberta ao Telegram a 26 de setembro, quando a atualização já estava disponível.
De acordo com o relato dos investigadores, o Telegram reconheceu a comunicação, mas contestou a possibilidade de transformar a falha numa execução remota de código. Até 29 de outubro, a vulnerabilidade não tinha um identificador CVE atribuído.
O problema estava relacionado com uma biblioteca de chamadas partilhada pelas diferentes versões do Telegram. A alteração necessária tinha sido introduzida nessa biblioteca em abril de 2026 e chegou às aplicações para iOS e computador antes da versão Android.
Não existem, contudo, provas de que a mesma técnica pudesse ser explorada nas versões para iOS ou computador, nem em chamadas de grupo.
Como verificar se o Telegram está atualizado
Os utilizadores de Android devem confirmar que têm instalada a versão 12.10.4 ou posterior do Telegram. O número da versão pode ser consultado no fundo da página de definições da aplicação.
Como medida adicional, é possível restringir as chamadas recebidas nas definições de privacidade do Telegram. A opção que impede todos os utilizadores de efetuar chamadas elimina esta via específica de exploração, mas não substitui a atualização.
Até à divulgação da investigação, a NebuSec não tinha identificado ataques reais que explorassem esta vulnerabilidade. A demonstração pública também não permitia verificar as versões exatas do Telegram e do Android utilizadas no equipamento apresentado.
Embora não existam provas de exploração desta vulnerabilidade em ataques reais, os utilizadores que suspeitem de acesso não autorizado ao equipamento podem consultar o guia do TecheNet sobre os sete sinais de um smartphone comprometido. O artigo explica como verificar aplicações desconhecidas, permissões suspeitas e sessões de acesso que não reconhecem.
