Vulnérabilité dans Telegram pour Android

Une faille de sécurité dans Telegram pour Android permettait à un attaquant d'exécuter du code sur le téléphone d'une victime dès que celle-ci décrochait un appel vocal. NebuSec, la société de sécurité qui a découvert la faille, l'a rendue publique récemment, après que Telegram a publié un correctif fin septembre.

Une attaque ne nécessitant qu'un accès minimal

Pour exploiter la vulnérabilité, un attaquant n'avait besoin que d'un compte Telegram ordinaire. Les utilisateurs sont invités à passer à la version 12.10.4 ou ultérieure pour se protéger de ce problème, qui provenait d'un message d'appel mal interprété.

Un message d'appel mal interprété à l'origine du problème

Pendant un appel, les applications Telegram échangent de petits messages pour démarrer et surveiller la communication. L'un de ces messages, MediaState, fournit des informations sur le microphone, la caméra et l'orientation de la vidéo. Le code qui lit ce message gérait mal les champs manquants et accédait à des zones de mémoire non prévues.

Faille corrigée dans une version plus récente

Le problème a été observé dans le code de la version 12.10.3. Lorsque le message contenait une valeur de rotation, le code la vérifiait puis lisait un champ d'état vidéo, même si celui-ci n'existait pas. La version suivante, 12.10.4, a corrigé cette faille.

Plusieurs versions touchées

Toutes les versions de Telegram pour Android, de la 8.6.2 à la 12.10.3, publiées entre mars 2022 et septembre 2026, sont concernées. NebuSec, une start-up soutenue par Y Combinator, a découvert la faille grâce à son outil Code Security, basé sur GPT-5.4 d'OpenAI.

Aucun numéro CVE attribué, iOS non concerné

Au 29 octobre, la vulnérabilité n'avait pas de numéro CVE, un identifiant public utilisé pour recenser les failles de sécurité connues. On ignore si elle a été utilisée lors d'attaques réelles. La vulnérabilité a été confirmée sur des appareils équipés de processeurs ARM64, mais pas sur iOS, sur ordinateur ni lors d'appels de groupe.

Correctif appliqué sur toutes les plateformes

Les appels Telegram utilisent la même bibliothèque de code pour Android, iOS et les ordinateurs, appelée tgcalls. Un correctif intitulé « Fix camera rotation » a été intégré à cette bibliothèque le 21 avril 2026. La correction a été diffusée sur iOS avec la version 12.7 en mai, sur l'application de bureau avec la version 7.0.1 en juillet, et sur Android avec la version 12.10.4.

Des problèmes de sécurité déjà signalés pour les appels Telegram

Les appels Telegram ont déjà attiré l'attention. En octobre 2018, l'application de bureau exposait les adresses IP des participants lors des appels vocaux pair à pair, jusqu'à l'ajout d'une option permettant de désactiver cette fonction.