Uma falha crítica no Telegram para Android permitia que invasores assumissem o controle total do aparelho apenas quando a vítima atendia uma ligação de voz. O problema, já corrigido na versão 12.10.4, expôs usuários por mais de quatro anos.
A vulnerabilidade foi descoberta pela empresa de segurança NebuSec e dispensava qualquer interação complexa: bastava atender o telefone. O código malicioso era executado instantaneamente, tirando o usuário do aplicativo e expondo a tela inicial do dispositivo.
Como o ataque acontecia na prática
O erro residia no processamento de mensagens internas usadas para configurar o estado da chamada. Quando um pacote de dados chegava incompleto — sem todos os campos esperados —, o acessava uma região de memória de forma indevida.
Essa falha de lógica abria brecha para a execução remota de código (RCE). Em demonstração pública, a NebuSec mostrou o celular saindo do Telegram automaticamente e exibindo a mensagem “HACKED BY NEBUSEC” na tela inicial, provando o controle total do sistema operacional.
O vetor de ataque exigia apenas que o agressor tivesse uma conta comum na plataforma. Não era necessário vínculo prévio com a vítima nem engenharia social elaborada.
Seu aparelho está na lista de risco?
A brecha afetava todas as versões do Telegram para Android lançadas entre março de 2022 (versão 8.6.2) e setembro de 2026 (versão 12.10.3). Se você não atualizou o aplicativo nas últimas semanas, seu dispositivo pode ter ficado exposto durante todo esse período.
- Versões vulneráveis: 8.6.2 até 12.10.3
- Versão segura: 12.10.4 ou superior
- Arquitetura confirmada: Processadores ARM64 (padrão na grande maioria dos smartphones atuais)
Para verificar, abra Configurações no Telegram e role até o final da página. O número da versão instalada aparece no rodapé.
iOS, Desktop e chamadas em grupo: há perigo?
Segundo a NebuSec, não há evidências de que a falha afete diretamente o Telegram para iPhone (iOS), a versão para computador ou chamadas em grupo. Embora esses aplicativos compartilhem a mesma biblioteca de chamadas de voz e vídeo, a correção já havia sido aplicada nos códigos do iOS e Desktop antes de chegar ao Android.
Isso sugere que a janela de exploração ativa foi específica para o cliente Android, possivelmente devido a particularidades na implementação da biblioteca nesse sistema operacional.
Descoberta por inteligência artificial e o que vem agora
Um detalhe chama a atenção: a NebuSec creditou o uso do GPT-5.4 como parte do processo de descoberta e análise da vulnerabilidade, transformando um “modelo dinossauro” em ferramenta de caça a falhas. Até 29 de outubro, a falha ainda não possuía identificador CVE oficial.
O Telegram e a NebuSec foram questionados sobre a existência de ataques reais explorando essa brecha antes do patch, mas não houve confirmação pública até o momento.
O que observar daqui para frente
A atualização para a versão 12.10.4 é obrigatória e urgente. Diferente de golpes que dependem de cliques em links ou download de arquivos, esta falha era acionada passivamente ao atender o telefone — um vetor quase impossível de ser evitado pelo comportamento do usuário.
Mantenha as atualizações automáticas da Play Store ativadas e monitore comunicados oficiais do Telegram. Falhas de execução remota de código em aplicativos de mensagens massivos tendem a ser alvo prioritário de grupos de espionagem e crime organizado nas semanas seguintes à divulgação técnica.
