gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportلقد قدّمت تقريرًا عن ثغرة ملصقات Telegram، تقرير تحليل ثغرة أمنية: ثغرة RCE بنقرة صفرية في Telegram ZDI-CAN-30207 | CVSS 9.8 حرجة.
ZDI-CAN-30207 | CVSS 9.8 حرجة | غير مُرقَّعة (اعتبارًا من 2026-03-30)
المُعِد: Dennis Kim (@gameworkerkim)
تاريخ الإعداد: 30 مارس 2026
جهة الاتصال: [email protected]
هذه ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) بنقرة صفرية (0-Click) في منصتي Telegram Android/Linux، وقد أصدر فريق CSIRT Italy التابع للوكالة الوطنية للأمن السيبراني الإيطالية (ACN) تنبيهًا رسميًا بشأنها في أواخر مارس 2026. اكتشفها الباحث Michael DePlante (@izobashi) من مبادرة Zero Day Initiative (ZDI) التابعة لـ Trend Micro، ومُنِحَت المُعرِّف الداخلي ZDI-CAN-30207.
تتيح هذه الثغرة للمُهاجم تنفيذ تعليمات برمجية عشوائية على جهاز الضحية بمجرد إرسال ملصق متحرك (Animated Sticker) أو ملف وسائط مُصمَّم بخبث إلى الضحية. ولا تتطلب أي إجراء من المستخدم (نقر، قبول تنزيل، إلخ)، وهذا يجعلها واحدة من أخطر أنواع الثغرات في مجال أمن تطبيقات المراسلة.
| البند | المحتوى |
|---|---|
| مُعرِّف الثغرة | ZDI-CAN-30207 (لم يُخصَّص CVE) |
| درجة CVSS v3.1 | 9.8 / 10 (حرجة) |
| متجه CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| نوع الثغرة | تنفيذ تعليمات برمجية عن بُعد بنقرة صفرية (RCE) |
| المكتشف | Michael DePlante (@izobashi) / Trend Micro ZDI |
| المنصات المتأثرة | Telegram Android، Telegram Linux |
| تاريخ إخطار Telegram | 26 مارس 2026 |
| تاريخ الكشف المقرر | 24 يوليو 2026 (سياسة ZDI القياسية 90-120 يومًا) |
| حالة الترقيع | ⚠️ غير مُرقَّعة (No official patch as of 2026-03-30) |
| نشر PoC | غير منشور (احتمال وجود Exploit خاص) |
| الاستغلال الفعلي | غير مؤكد (No confirmed in-the-wild exploitation) |
| تنبيه CSIRT | تنبيه رسمي من CSIRT Italy (ACN) |
يكمن جوهر الهجوم في عملية الإنشاء التلقائي للمعاينة (Preview) لملفات الوسائط التي يتلقاها Telegram (وخاصة الملصقات المتحركة). في مرحلة التحليل هذه، يُفعِّل الملف المُصمَّم بخبث مسارًا برمجيًا ضعيفًا يؤدي إلى RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| المقياس | القيمة | المعنى |
|---|---|---|
| Attack Vector (AV) | Network | يمكن الهجوم عن بُعد عبر الإنترنت |
| Attack Complexity (AC) | Low | لا حاجة لشروط خاصة أو تقنيات تجاوز معقدة |
| Privileges Required (PR) | None | لا حاجة لحساب مهاجم أو صلاحيات خاصة |
| User Interaction (UI) | None | لا حاجة لأي إجراء من الضحية (Zero-Click) |
| Scope (S) | Unchanged | التأثير يقتصر على المكوّن المصاب |
| Confidentiality (C) | High | اختراق كامل لسرية الرسائل والجلسات والوسائط وغيرها |
| Integrity (I) | High | إمكانية التلاعب بملفات النظام والبيانات |
| Availability (A) | High | تعطيل الخدمة والمساس بتوافر الجهاز |
سجلت مكتبة rlottie في Telegram (محرك عرض الملصقات المتحركة) سابقة حيث اكتشف فريق بحث Shielder عام 2021 عددًا كبيرًا من الثغرات المماثلة (Heap Buffer Overflow، Stack Overflow، Type Confusion) في إصدارات Android/iOS/macOS. كانت تلك الثغرات تتطلب حدًا أدنى من تفاعل المستخدم، إلا أن ZDI-CAN-30207 أكثر خطورة من حيث تحقيقه Zero-Click كاملًا.
Telegram rlottie GitHub
⚠️ معظم الـ commits تعود إلى 7 سنوات مضت، ما يعكس غياب الصيانة المستمرة.
طُوّرت rlottie بلغة C++14، وبحكم خصائص C++ الحديثة فإن مستوى التجريد فيها مرتفع وتصحيح الأخطاء ليس سهلًا. وبما أن معظم commits الشيفرة المصدرية على GitHub تعود إلى 7 سنوات مضت، يبدو أن غياب الصيانة المستمرة ليس بمعزل عن ظهور هذه الثغرة.
يمتلك Telegram أكثر من مليار مستخدم نشط حول العالم.
| التصنيف | المحتوى |
|---|---|
| المنصات المتأثرة المؤكدة | Telegram for Android، Telegram for Linux |
| تأثير محتمل غير مؤكد | إصدارات iOS وWindows وmacOS |
| الفئة المستهدفة | جميع المستخدمين الذين يتلقون رسائل من مرسلين غير محددين عبر Telegram |
لطالما كانت ثغرات RCE الكاملة بنمط Zero-Click ذات تقييم CVSS 9.8 هدفًا رئيسيًا تاريخيًا لـمجموعات الهجمات السيبرانية المدعومة من الدول (APT) ومطوري برامج التجسس التجارية (مثل NSO Group).
⚠️ مهم: تعطيل التنزيل التلقائي لا يحجب هذه الثغرة.
تُستثار الثغرة ليس في مرحلة تنفيذ الملف بعد اكتمال التنزيل، بل في مرحلة تحليل المعاينة التي تحدث تلقائيًا عند استلام الرسالة. لذا فإن تعطيل التنزيل التلقائي في الإعدادات لا يُعد إجراءً تخفيفيًا فعّالًا.
حتى الآن، لا يزال الجانب الرسمي في Telegram يلتزم صمتًا غير معتاد إلى حد بعيد. أبلغت ZDI شركة Telegram بالثغرة في 26 مارس 2026، وحددت وفق إجراء الإفصاح المسؤول القياسي (Responsible Disclosure) موعد 24 يوليو 2026 كموعد نهائي للإفصاح.
نفى متحدث باسم Telegram وجود هذه الثغرة، إلا أن ذلك يتعارض مع التنبيهات الرسمية الصادرة عن ZDI وCSIRT Italy، وقد أعرب خبراء الصناعة عن تشكيك قوي في ادعاءات Telegram.
| البند | الحالة |
|---|---|
| إشعار Telegram | 26 مارس 2026 |
| تصحيح Telegram الرسمي | لم يُعلن |
| موعد الكشف من ZDI | 24 يوليو 2026 (الكشف الكامل عن التفاصيل التقنية في حال عدم اكتمال التصحيح) |
| تحذير CSIRT Italy | صدر بالفعل (يتضمن تحليلاً رسمياً ودليل تخفيف) |
| موقف Telegram الرسمي | إنكار وجود الثغرة (خبراء الصناعة يدحضون ذلك) |
⚠️ تنبيه: عدم الإفصاح عن مؤشرات الاختراق (IoC) — قدرة الكشف عن الاختراق محدودة للغاية
حتى الآن لم تُنشر أي مؤشرات اختراق (IoC) رسمية، مما يجعل اكتشاف الاختراق بالغ الصعوبة. يُرجى مراقبة المؤشرات غير الطبيعية التالية: