Uma falha no Telegram para Android permitia que invasores executassem código no celular da vítima após ela atender uma chamada de voz. Descoberta pela empresa de segurança NebuSec, a vulnerabilidade foi corrigida na versão 12.10.4 do aplicativo.
O problema afetava versões entre 8.6.2 e 12.10.3, dentro do período de março de 2022 a setembro de 2026. Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente.
Falha fazia o código do Telegram acessar indevidamente uma área de memória do dispositivo durante a ligação. Imagem: Christian Wiediger/Unsplash
Como funcionava a vulnerabilidade
O erro estava no processamento de mensagens usadas para configurar e informar o estado das chamadas. Quando uma delas não continha todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho.
A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64. No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”, em tradução livre).
Entre as características e limitações identificadas pela empresa estão:
• O ataque exigia apenas uma conta comum no Telegram.
• A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64.
• Não havia evidências de impacto direto nos aplicativos para iOS, computador ou nas chamadas em grupo.
Remember when scam callers only ask for your password? Good times.
Now picking up a wrong call can get you hacked. Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4.
Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse.
Fixed in Telegram Android… pic.twitter.com/EOmPf14OIS
— NebuSec (@nebusecurity) October 29, 2026
Como verificar a atualização
Para conferir a versão instalada, o usuário deve abrir as configurações do Telegram e consultar o número exibido na parte inferior da página. A versão 12.10.4 corrige a falha.
Embora os aplicativos compartilhem uma biblioteca utilizada nas chamadas de voz e vídeo, a correção já havia sido incorporada aos códigos das versões para iPhone e computador antes de chegar ao Android.
Em 29 de outubro, a vulnerabilidade ainda não tinha um identificador CVE, utilizado para catalogar falhas de segurança. O The Hacker News informou que questionou o Telegram e a NebuSec sobre o uso da vulnerabilidade em ataques reais e sobre o alcance do código executado no aparelho.