He enviado un informe sobre la vulnerabilidad de los stickers de Telegram, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Sin parche (a fecha de 2026-03-30)
Autor: Dennis Kim (@gameworkerkim)
Fecha de creación: 30 de marzo de 2026
Contacto: [email protected]
Se trata de una vulnerabilidad de ejecución remota de código (RCE) de tipo zero-click (0-Click) en las plataformas Telegram Android/Linux, sobre la cual el CSIRT Italy de la Agencia Nacional de Ciberseguridad de Italia (ACN) emitió una alerta oficial a finales de marzo de 2026. Fue descubierta por el investigador Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative (ZDI), y se le asignó el identificador interno ZDI-CAN-30207.
Esta vulnerabilidad permite al atacante ejecutar código arbitrario en el dispositivo de la víctima simplemente enviándole un sticker animado (Animated Sticker) o un archivo multimedia manipulado. No se requiere ninguna acción por parte del usuario (clic, aceptación de descarga, etc.), lo que la convierte en uno de los tipos de vulnerabilidad más peligrosos en el ámbito de la seguridad de mensajería.
| Elemento | Contenido |
|---|---|
| Identificador de vulnerabilidad | ZDI-CAN-30207 (sin CVE asignado) |
| Puntuación CVSS v3.1 | 9.8 / 10 (Critical) |
| Vector CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Tipo de vulnerabilidad | Zero-Click Remote Code Execution (RCE) |
| Descubridor | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Plataformas afectadas | Telegram Android, Telegram Linux |
| Fecha de notificación a Telegram | 26 de marzo de 2026 |
| Fecha de divulgación prevista | 24 de julio de 2026 (política estándar de 90-120 días de ZDI) |
| Estado del parche | ⚠️ Sin parche (No official patch as of 2026-03-30) |
| Publicación de PoC | No publicada (posible existencia de exploit privado) |
| Explotación real | No confirmada (No confirmed in-the-wild exploitation) |
| Alerta CSIRT | Alerta oficial emitida por CSIRT Italy (ACN) |
La clave del ataque reside en el proceso de generación automática de vistas previas (Preview) que Telegram realiza sobre los archivos multimedia recibidos (especialmente los stickers animados). En esta fase de análisis, un archivo manipulado activa una ruta de código vulnerable que desemboca en la RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Métrica | Valor | Significado |
|---|---|---|
| Attack Vector (AV) | Network | Ataque posible de forma remota a través de Internet |
| Attack Complexity (AC) | Low | No se requieren condiciones especiales ni técnicas de evasión complejas |
| Privileges Required (PR) | None | No se requiere cuenta de atacante ni privilegios especiales |
| User Interaction (UI) | None | No se requiere ninguna acción por parte de la víctima (Zero-Click) |
| Scope (S) | Unchanged | Impacto dentro del componente vulnerable |
| Confidentiality (C) | High | Compromiso total de la confidencialidad de mensajes, sesiones, medios, etc. |
| Integrity (I) | High | Posibilidad de alterar archivos y datos del sistema |
| Availability (A) | High | Interrupción del servicio y compromiso de la disponibilidad del dispositivo |
La librería rlottie de Telegram (motor de renderizado de stickers animados) ya tiene antecedentes: en 2021, el equipo de investigación Shielder descubrió numerosas vulnerabilidades similares (Heap Buffer Overflow, Stack Overflow, Type Confusion) en las versiones para Android/iOS/macOS. En aquel entonces, las vulnerabilidades requerían una interacción mínima del usuario, pero ZDI-CAN-30207 es aún más grave por haber logrado un zero-click completo.
Telegram rlottie GitHub
⚠️ La mayoría de los commits son de hace 7 años, lo que indica una ausencia de mantenimiento continuo.
rlottie fue desarrollado en C++14 y, debido a las características del C++ moderno, presenta un alto nivel de abstracción y una depuración poco sencilla. El hecho de que la mayoría de los commits del código fuente en GitHub sean de hace 7 años sugiere que la falta de mantenimiento continuo no es ajena a la aparición de esta vulnerabilidad.
Telegram cuenta con más de mil millones de usuarios activos en todo el mundo.
| Clasificación | Contenido |
|---|---|
| Plataformas afectadas confirmadas | Telegram for Android, Telegram for Linux |
| Impacto potencial no confirmado | Versiones para iOS, Windows, macOS |
| Objetivo vulnerable | Todos los usuarios que reciben mensajes de remitentes desconocidos a través de Telegram |
Las vulnerabilidades RCE zero-click con CVSS 9.8 han sido históricamente un objetivo principal de grupos de ciberataque patrocinados por Estados (APT) y de desarrolladores comerciales de spyware (como NSO Group).
⚠️ Importante: desactivar la descarga automática no bloquea esta vulnerabilidad.
La vulnerabilidad se activa no en la fase de ejecución del archivo tras completarse la descarga, sino en la fase de análisis de la vista previa que ocurre automáticamente al recibir el mensaje. Desactivar la descarga automática en los ajustes no constituye una medida de mitigación válida.
Hasta la fecha, el lado oficial de Telegram mantiene un silencio muy inusual. ZDI notificó la vulnerabilidad a Telegram el 26 de marzo de 2026 y, conforme al procedimiento estándar de divulgación responsable (Responsible Disclosure), estableció el 24 de julio de 2026 como fecha límite de divulgación.
Un portavoz de Telegram negó la existencia de esta vulnerabilidad, pero ello contradice las alertas oficiales de ZDI y del CSIRT Italy, y los expertos del sector expresan fuertes dudas sobre las afirmaciones de Telegram.
| Elemento | Estado |
|---|---|
| Notificación a Telegram | 26 de marzo de 2026 |
| Parche oficial de Telegram | No publicado |
| Divulgación prevista por ZDI | 24 de julio de 2026 (divulgación completa de detalles técnicos si el parche no está completo) |
| Alerta de CSIRT Italy | Emitida (análisis oficial y guía de mitigación proporcionados) |
| Postura oficial de Telegram | Niega la existencia de la vulnerabilidad (expertos de la industria la refutan) |