Pesquisadores de segurança divulgaram em 29 de outubro de 2026 uma falha no Telegram para Android que permite executar código no aparelho da vítima depois que ela atende uma chamada de voz. O atacante precisa apenas de uma conta comum. O Telegram corrigiu na versão 12.10.4, liberada no fim de setembro de 2026.
Pela contagem dos pesquisadores, o defeito pode ser acionado em todas as versões da 8.6.2 à 12.10.3, publicadas entre março de 2022 e setembro de 2026. Até 29 de outubro não havia identificador CVE atribuído a essa falha nem registro público de uso em ataque real.
O problema está no trecho que interpreta as mensagens curtas que os dois aplicativos trocam durante a ligação. Uma delas, chamada MediaState, informa se o microfone está silenciado, se a câmera está ligada e como o vídeo está rotacionado. O código lidava mal com campos ausentes e acabava lendo memória que não deveria.
Segundo o The Hacker News, o defeito aparece no código-fonte da 12.10.3, que o Telegram publica: quando a mensagem traz o valor de rotação, o código verifica esse valor e depois lê o campo de estado do vídeo mesmo quando ele não está presente. A 12.10.4 lê a rotação do campo correto.
A correção de fundo é mais antiga que a atualização do Android. A mesma mudança entrou na biblioteca de chamadas compartilhada pelas plataformas em 21 de abril de 2026, e chegou ao iOS na 12.7 em maio, ao aplicativo de computador na 7.0.1 em julho e ao Android só em setembro.
O alcance confirmado é estreito. Os pesquisadores verificaram o efeito em chamadas privadas em aparelhos Android de arquitetura ARM64 e dizem não ter evidência de que iOS, versão de computador ou chamadas em grupo sejam afetados. Não houve publicação de análise técnica do exploit e a demonstração em vídeo não mostra as versões usadas, então a ligação entre o erro de memória e a execução de código depende do relato deles.
A ação para o usuário é conferir a versão do Telegram no fim da tela de configurações e atualizar para a 12.10.4 ou superior. Para quem administra aparelhos corporativos, vale levantar a frota, porque a faixa afetada cobre quatro anos e meio de versões e aparelho sem atualização automática fica exposto. Convém separar essa falha da CVE-2026-111105, de nota 7,0, que a Zero Day Initiative divulgou na biblioteca de animação do Telegram e que é outro problema.
