J'ai soumis un rapport sur la vulnérabilité des autocollants Telegram, RAPPORT D'ANALYSE DE VULNÉRABILITÉ DE SÉCURITÉ Vulnérabilité RCE 0-Click de Telegram ZDI-CAN-30207 | CVSS 9.8 CRITIQUE.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Non corrigé (au 2026-03-30)
Auteur : Dennis Kim (@gameworkerkim)
Date de rédaction : 30 mars 2026
Contact : [email protected]
Il s'agit d'une vulnérabilité d'exécution de code à distance (RCE) de type zéro-clic (0-Click) affectant les plateformes Telegram Android/Linux, pour laquelle le CSIRT Italy de l'Agence nationale italienne de cybersécurité (ACN) a émis une alerte officielle fin mars 2026. Elle a été découverte par le chercheur Michael DePlante (@izobashi) du Zero Day Initiative (ZDI) de Trend Micro, et s'est vu attribuer l'identifiant interne ZDI-CAN-30207.
Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire sur l'appareil de la victime par le simple envoi d'un sticker animé (Animated Sticker) ou d'un fichier média manipulé. Aucune action de l'utilisateur (clic, acceptation de téléchargement, etc.) n'est nécessaire, ce qui en fait l'un des types de vulnérabilités les plus dangereux dans le domaine de la sécurité des messageries.
| Élément | Contenu |
|---|---|
| Identifiant de la vulnérabilité | ZDI-CAN-30207 (CVE non attribué) |
| Score CVSS v3.1 | 9.8 / 10 (Critical) |
| Vecteur CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Type de vulnérabilité | Zero-Click Remote Code Execution (RCE) |
| Découvreur | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Plateformes affectées | Telegram Android, Telegram Linux |
| Date de notification à Telegram | 26 mars 2026 |
| Date de divulgation prévue | 24 juillet 2026 (politique standard ZDI de 90-120 jours) |
| État du correctif | ⚠️ Non corrigé (No official patch as of 2026-03-30) |
| Publication du PoC | Non publié (possibilité d'exploit privé existant) |
| Exploitation réelle | Non confirmée (No confirmed in-the-wild exploitation) |
| Alerte CSIRT | Alerte officielle émise par le CSIRT Italy (ACN) |
Le cœur de l'attaque réside dans le processus de génération automatique d'un aperçu (Preview) par Telegram pour les fichiers média reçus (en particulier les stickers animés). Lors de cette étape d'analyse, un fichier manipulé déclenche un chemin de code vulnérable, conduisant à une RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Métrique | Valeur | Signification |
|---|---|---|
| Attack Vector (AV) | Network | Attaque possible à distance via Internet |
| Attack Complexity (AC) | Low | Aucune condition particulière ni technique de contournement complexe requise |
| Privileges Required (PR) | None | Aucun compte d'attaquant ni privilège spécial requis |
| User Interaction (UI) | None | Aucune action de la victime nécessaire (Zero-Click) |
| Scope (S) | Unchanged | Impact au sein du composant vulnérable |
| Confidentiality (C) | High | Atteinte totale à la confidentialité : messages, sessions, médias, etc. |
| Integrity (I) | High | Possibilité de falsification des fichiers système et des données |
| Availability (A) | High | Interruption du service et atteinte à la disponibilité de l'appareil |
La bibliothèque rlottie de Telegram (moteur de rendu des stickers animés) a déjà fait l'objet, en 2021, de la découverte par l'équipe de recherche Shielder de nombreuses vulnérabilités similaires (Heap Buffer Overflow, Stack Overflow, Type Confusion) dans les versions Android/iOS/macOS. À l'époque, ces vulnérabilités nécessitaient une interaction minimale de l'utilisateur, mais ZDI-CAN-30207 est plus grave encore dans la mesure où il atteint un zéro-clic complet.
Telegram rlottie GitHub
⚠️ La plupart des commits datent de 7 ans, ce qui traduit une absence de maintenance continue.
rlottie a été développé en C++14 et, en raison des caractéristiques du C++ moderne, présente un niveau d'abstraction élevé et une débogage malaisé. Le fait que la majorité des commits du code source GitHub remontent à 7 ans n'est pas sans lien avec l'absence de maintenance continue et l'apparition de cette vulnérabilité.
Telegram compte plus d'un milliard d'utilisateurs actifs dans le monde.
| Catégorie | Contenu |
|---|---|
| Plateformes affectées confirmées | Telegram for Android, Telegram for Linux |
| Impact potentiel non confirmé | Versions iOS, Windows, macOS |
| Cibles vulnérables | Tous les utilisateurs recevant des messages d'expéditeurs non identifiés via Telegram |
Une vulnérabilité RCE en zéro-clic complète de score CVSS 9.8 a historiquement constitué une cible privilégiée pour les groupes de cyberattaques soutenus par des États (APT) et les développeurs de logiciels espions commerciaux (NSO Group, etc.).
⚠️ Important : désactiver le téléchargement automatique ne bloque pas cette vulnérabilité.
La vulnérabilité est déclenchée non pas à l'étape d'exécution du fichier après la fin du téléchargement, mais à l'étape d'analyse de l'aperçu qui se produit automatiquement à la réception du message. La désactivation du téléchargement automatique dans les paramètres ne constitue donc pas une mesure d'atténuation valable.
À ce jour, la partie officielle de Telegram maintient un silence très inhabituel. ZDI a notifié la vulnérabilité à Telegram le 26 mars 2026 et, conformément à la procédure standard de divulgation responsable (Responsible Disclosure), a fixé au 24 juillet 2026 la date limite de publication.
Un porte-parole de Telegram a nié l'existence de cette vulnérabilité, mais cela contredit les alertes officielles de ZDI et du CSIRT Italy, et les experts du secteur expriment de forts doutes quant aux affirmations de Telegram.
| Élément | Situation |
|---|---|
| Notification Telegram | 26 mars 2026 |
| Correctif officiel Telegram | Non publié |
| Publication ZDI prévue | 24 juillet 2026 (divulgation complète des détails techniques si le correctif n'est pas terminé) |
| Alerte CSIRT Italy | Émise (analyse officielle et guide d'atténuation fournis) |
| Position officielle Telegram | Déni de l'existence de la vulnérabilité (contesté par les experts du secteur) |