O problema afetava versões entre 8.6.2 e 12.10.3, dentro do período de março de 2022 a setembro de 2026. Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente.
Falha fazia o código do Telegram acessar indevidamente uma área de memória do dispositivo durante a ligação. Imagem: Christian Wiediger/Unsplash
Como funcionava a vulnerabilidade
O erro estava no processamento de mensagens usadas para configurar e informar o estado das chamadas. Quando uma delas não continha todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho.
A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64. No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”, em tradução livre).
Entre as características e limitações identificadas pela empresa estão:
O ataque exigia apenas uma conta comum no Telegram.
A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64.
Não havia evidências de impacto direto nos aplicativos para iOS , computador ou nas chamadas em grupo.
Remember when scam callers only ask for your password? Good times.
Now picking up a wrong call can get you hacked.
Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4.
Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse.
Fixed in Telegram Android… pic.twitter.com/EOmPf14OIS
— NebuSec (@nebusecurity) October 29, 2026
Como verificar a atualização
Para conferir a versão instalada, o usuário deve abrir as configurações do Telegram e consultar o número exibido na parte inferior da página. A versão 12.10.4 corrige a falha.
Embora os aplicativos compartilhem uma biblioteca utilizada nas chamadas de voz e vídeo, a correção já havia sido incorporada aos códigos das versões para iPhone e computador antes de chegar ao Android .
Em 29 de outubro, a vulnerabilidade ainda não tinha um identificador CVE, utilizado para catalogar falhas de segurança. O The Hacker News informou que questionou o Telegram e a NebuSec sobre o uso da vulnerabilidade em ataques reais e sobre o alcance do código executado no aparelho.
O post Falha no Telegram para Android permitia invasão ao atender chamada apareceu primeiro em Olhar Digital .
