Експертът по сигурност Saifeldeen Aziz съобщава, че е открил нови zero-click уязвимости в стикерите на Telegram. Той също така твърди, че ги е навързал във верига, за да изпълни код в iOS. Работата му трябваше да бъде представена на 28 октомври на конференцията OffensiveCon в Токио, според програмата на събитието. Aziz посочва, че е заобиколил сървърните проверки на Telegram и че уязвимият код все още присъства в приложенията.

Презентацията е директно предизвикателство към позицията, която Telegram заеха през март. Тогава Zero Day Initiative (ZDI) на Trend Micro докладва за дефект в кода за стикери на приложението. Според докладите Telegram определиха уязвимостта като несъществуваща, заявявайки, че сървърите им проверяват всеки стикер, преди което и да е приложение да го възпроизведе. Впоследствие ZDI намали оценката за тежест от 9.8 на 7.0 заради тези сървърни проверки.

Изследователят, стоящ зад този доклад, Michael DePlante, все пак заяви, че уязвимият код съществува от страната на клиента. Националната агенция по киберсигурност на Италия също прие доклада сериозно.

0-click уязвимост в стикерите на Telegram

По-късно ZDI публикува своя бюлетин ZDI-26-757 на 15 октомври. Той проследява дефекта като CVE-2026-111105 и описва дефект, свързан с числово пресичане (numeric truncation), в библиотеката rlottie. Невалидни входящи данни там могат да доведат до запис преди началото на буфера в паметта, което от своя страна може да позволи изпълнение на код.

Хронологията показва дълга кореспонденция между двете страни. На 31 март Telegram заявиха, че проверките на сървъра ограничават уязвимостта. В средата на април те поискаха от ZDI пълна работеща верига от експлойти. От ZDI определиха това искане като отклонение от стандартната практика за разкриване на уязвимости. През юли ZDI предупредиха Telegram, че ще публикуват случая като нулев ден — термин за дефект, за който все още няма налична корекция за сигурност.

Резюмето на Aziz посочва, че той е прекарал една година в анализ на Telegram. Започнал е чрез фазинг (fuzzing) на rlottie с помощта на големи езикови модели. Фазингът представлява подаване на огромни обеми от повредени данни към дадена програма, за да се предизвика срив. В резюмето се отбелязва, че по този начин са открити няколко проблема с повреждане на паметта (memory corruption) в клиентите за iOS, Android и Desktop.

След това той открива отделни логически грешки в начина, по който Telegram доставя и проверява стикерите. Чрез навързването им той твърди, че е направил кода, който би трябвало да е недостъпен, уязвим за злоупотреби. Последната стъпка е била изпълнение на код в Telegram за iOS. Той също така планира да обсъди ограниченията на този експлойт. Публичното резюме не съдържа технически доказателства, информация за статус на корекция за сигурност или CVE номера за новите дефекти, така че читателите следва да третират твърденията като непотвърдени до излизането на пълната лекция или подробен технически анализ.

Анимираните стикери използват формата TGS, който представлява компресиран анимационен файл Lottie. Библиотеката rlottie на Telegram ги визуализира на екрана. Pasquale Pillitteri обясни, че дори миниатюрен стикер от 269 байта може да срине Telegram и да блокира достъпа до чат. Той също така отбеляза, че филтрирането на сървъра не обхваща всеки случай. Telegram Desktop 7.2.7 отстрани конкретно този вариант.

Това не е първият път, в който rlottie създава проблеми. Анализ в GitHub припомня, че Shielder откриха няколко дефекта в rlottie през 2021 г. Те засягаха Android, iOS и macOS.

В кода на Telegram наскоро бяха наблюдавани и други инциденти. Cyber Security News отрази уязвимост в Telegram Desktop, проследявана като CVE-2026-107181, която преди версия 7.2.9 можеше да позволи на специално модифицирана връзка да открадне файлове и да компрометира профили. Съобщихме и за дефекта EvilVideo, при който фалшиви видео файлове изпълняваха злонамерен код в Android.

Aziz завършва резюмето си с труден въпрос: ако сървърите на един доставчик служат като единствена бариера срещу zero-click уязвимост, това защита ли е, архитектурен риск ли е или нещо близко до задна вратичка (backdoor)? Проблемът е, че потребителите не могат да проверят какво извършва сървърът, а могат единствено да му се доверят.

Докато Telegram не промени клиентския код, най-сигурните мерки са прости: поддържайте всяко приложение на Telegram напълно обновено, ограничете кой може да ви изпраща съобщения или да ви добавя в групи и избягвайте отварянето на файлове от непознати податели. От ZDI също съветват да се ограничи взаимодействието с продукта.