Falha no Telegram para Android pode permitir execução de código após chamada de voz
Uma vulnerabilidade no Telegram para Android pode abrir caminho para a execução de código no aparelho depois que o usuário atende a uma chamada de voz. Segundo os pesquisadores que identificaram o problema, o ataque pode ser iniciado por alguém com uma conta comum no aplicativo, sem necessidade de privilégios especiais.
A falha foi divulgada em 29 de outubro de 2026 e corrigida pelo Telegram na versão 12.10.4, disponibilizada no fim de setembro daquele ano. De acordo com a análise apresentada, o defeito afeta versões entre a 8.6.2 e a 12.10.3, lançadas de março de 2022 a setembro de 2026. Até a data da divulgação, não havia um identificador CVE associado ao caso nem confirmação pública de exploração em ataques reais.
Erro na interpretação de dados da chamada
O problema está no processamento de mensagens curtas trocadas entre os aplicativos durante uma ligação. Uma delas, chamada MediaState, transmite informações sobre o estado da chamada, como o microfone estar silenciado, a câmera estar ativa e a orientação da imagem.
Ao lidar com determinados campos dessa mensagem, o aplicativo podia tentar acessar uma área de memória de forma inadequada. A análise do código da versão 12.10.3 indica que, quando recebia um valor relacionado à rotação do vídeo, o Telegram verificava essa informação e, em seguida, tentava consultar o estado do vídeo mesmo quando o campo correspondente não estava presente.
A versão 12.10.4 altera esse tratamento e passa a obter a informação de rotação do campo apropriado. A correção elimina a condição descrita pelos pesquisadores, na qual a interpretação de dados incompletos poderia levar a uma leitura indevida de memória.
Embora a atualização para Android tenha chegado em setembro, a mudança no código compartilhado pelas plataformas foi incorporada anteriormente, em 21 de abril de 2026. Depois disso, a correção apareceu no Telegram para iOS na versão 12.7, lançada em maio, e no aplicativo para computador na versão 7.0.1, distribuída em julho. No Android, ela foi incluída na versão 12.10.4.
O que se sabe sobre o alcance
Os testes relatados se concentraram em chamadas privadas realizadas em aparelhos Android com arquitetura ARM64. Os pesquisadores afirmaram não ter encontrado evidências de que o mesmo problema afete o iOS, o aplicativo para computador ou as chamadas em grupo. Isso não equivale, por si só, a uma garantia de que outras configurações estejam livres de risco: indica apenas os limites do que foi verificado e divulgado.
Também há informações técnicas que não foram publicadas em detalhe. Não foi apresentada uma análise completa do exploit, e o vídeo demonstrativo não identifica as versões usadas nos testes. Por isso, a relação entre o erro de memória e a execução de código depende do relato dos pesquisadores, e a demonstração pública não permite reproduzir ou avaliar de forma independente todos os passos do ataque.
A situação deve ser diferenciada de outra vulnerabilidade relacionada ao Telegram, identificada como CVE-2026-111105 e avaliada com nota 7,0. Esse outro problema está ligado à biblioteca de animação do aplicativo e não corresponde à falha no processamento de mensagens durante chamadas de voz.
Como se proteger
Usuários de Android devem conferir se o Telegram está na versão 12.10.4 ou em uma edição posterior. A verificação pode ser feita nas informações do aplicativo ou na área de configurações, onde normalmente aparece o número da versão instalada. Se houver uma atualização disponível, a recomendação é instalá-la e manter as atualizações automáticas ativadas.
Em aparelhos corporativos, a checagem precisa abranger todos os dispositivos, não apenas os usados diariamente pela equipe de tecnologia. Celulares antigos, aparelhos reserva e equipamentos sem atualização automática podem continuar executando versões vulneráveis mesmo quando os funcionários acreditam que o aplicativo está atualizado.
Se a atualização não puder ser instalada imediatamente, uma medida temporária é evitar atender chamadas de voz pelo aplicativo em dispositivos que ainda estejam na faixa afetada. Essa precaução não substitui a instalação da correção, mas pode reduzir a exposição enquanto o aparelho permanece desatualizado.
Empresas também devem registrar quais versões estão em uso e definir um prazo para corrigir os dispositivos identificados. Um inventário simples, com modelo do aparelho, sistema operacional e versão do Telegram, ajuda a localizar rapidamente equipamentos que ficaram para trás. Em ambientes gerenciados, políticas de atualização e alertas para aplicativos desatualizados podem reduzir esse tipo de intervalo.
A existência da vulnerabilidade não significa que todo usuário com uma versão antiga tenha sido atacado. Até a divulgação, não havia confirmação pública de exploração real. Ainda assim, como o defeito envolve o processamento de dados durante uma chamada e a correção já está disponível, atualizar o aplicativo é a medida mais direta para diminuir o risco.