gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportHo inviato un report sulla vulnerabilità degli sticker di Telegram, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Non patchata (al 2026-03-30)
Autore: Dennis Kim (@gameworkerkim)
Data di redazione: 30 marzo 2026
Contatto: [email protected]
Si tratta di una vulnerabilità zero-click (0-Click) di esecuzione di codice remoto (RCE) sulle piattaforme Telegram Android/Linux, per la quale il CSIRT Italy dell'Agenzia per la Cybersicurezza Nazionale italiana (ACN) ha emesso un avviso ufficiale alla fine di marzo 2026. È stata scoperta dal ricercatore Michael DePlante (@izobashi) del Trend Micro Zero Day Initiative (ZDI) ed è stata assegnata l'identificativo interno ZDI-CAN-30207.
Questa vulnerabilità consente a un attaccante di eseguire codice arbitrario sul dispositivo della vittima semplicemente inviando alla vittima uno sticker animato (Animated Sticker) o un file multimediale manipolato. Non è richiesta alcuna azione da parte dell'utente (clic, accettazione del download, ecc.), il che la rende una delle tipologie di vulnerabilità più pericolose nel campo della sicurezza dei messenger.
| Voce | Contenuto |
|---|---|
| Identificativo vulnerabilità | ZDI-CAN-30207 (CVE non assegnato) |
| Punteggio CVSS v3.1 | 9.8 / 10 (Critical) |
| Vettore CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Tipo di vulnerabilità | Zero-Click Remote Code Execution (RCE) |
| Scopritore | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Piattaforme interessate | Telegram Android, Telegram Linux |
| Data di notifica a Telegram | 26 marzo 2026 |
| Data di divulgazione prevista | 24 luglio 2026 (politica standard ZDI di 90-120 giorni) |
| Stato della patch | ⚠️ Non patchata (No official patch as of 2026-03-30) |
| PoC pubblico | Non divulgato (possibile esistenza di exploit privato) |
| Sfruttamento reale | Non confermato (No confirmed in-the-wild exploitation) |
| Avviso CSIRT | Avviso ufficiale emesso da CSIRT Italy (ACN) |
Il fulcro dell'attacco risiede nel processo di generazione automatica dell'anteprima (Preview) dei file multimediali ricevuti da Telegram (in particolare gli sticker animati). In questa fase di parsing, un file manipolato attiva un percorso di codice vulnerabile che conduce all'RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Metrica | Valore | Significato |
|---|---|---|
| Attack Vector (AV) | Network | Attacco remoto possibile tramite Internet |
| Attack Complexity (AC) | Low | Nessuna condizione speciale o tecnica di bypass complessa necessaria |
| Privileges Required (PR) | None | Nessun account attaccante o privilegio speciale necessario |
| User Interaction (UI) | None | Nessuna azione della vittima necessaria (Zero-Click) |
| Scope (S) | Unchanged | Impatto all'interno del componente vulnerabile |
| Confidentiality (C) | High | Compromissione totale della riservatezza di messaggi, sessioni, media, ecc. |
| Integrity (I) | High | Possibile manomissione di file di sistema e dati |
| Availability (A) | High | Interruzione del servizio e compromissione della disponibilità del dispositivo |
La libreria rlottie di Telegram (motore di rendering degli sticker animati) ha una storia di numerose vulnerabilità simili (Heap Buffer Overflow, Stack Overflow, Type Confusion) scoperte nel 2021 dal team di ricerca Shielder nelle versioni Android/iOS/macOS. All'epoca le vulnerabilità richiedevano un'interazione minima dell'utente, ma ZDI-CAN-30207 è ancora più grave in quanto raggiunge un zero-click completo.
Telegram rlottie GitHub
⚠️ La maggior parte dei commit risale a 7 anni fa, in assenza di manutenzione continua.
rlottie è sviluppato in C++14 e, data la natura del C++ moderno, presenta un elevato livello di astrazione che rende il debug non semplice. Il fatto che la maggior parte dei commit nel codice sorgente su GitHub risalga a 7 anni fa suggerisce che l'assenza di manutenzione continua non sia estranea all'insorgenza di questa vulnerabilità.
Telegram conta oltre 1 miliardo di utenti attivi in tutto il mondo.
| Categoria | Dettagli |
|---|---|
| Piattaforme con impatto confermato | Telegram for Android, Telegram for Linux |
| Impatto potenziale non confermato | Versioni iOS, Windows, macOS |
| Soggetti vulnerabili | Tutti gli utenti che ricevono messaggi da mittenti non identificati tramite Telegram |
Le vulnerabilità RCE zero-click complete con CVSS 9.8 sono state storicamente un obiettivo primario dei gruppi di attacchi informatici sponsorizzati da stati (APT) e degli sviluppatori di spyware commerciali (come NSO Group).
⚠️ Importante: disattivare il download automatico non blocca questa vulnerabilità.
La vulnerabilità viene attivata non nella fase di esecuzione del file dopo il completamento del download, ma nella fase di parsing dell'anteprima che si verifica automaticamente al momento della ricezione del messaggio. La disattivazione del download automatico nelle impostazioni non costituisce una misura di mitigazione valida.
Fino ad ora, il lato ufficiale di Telegram mantiene un silenzio molto inusuale. ZDI ha notificato la vulnerabilità a Telegram il 26 marzo 2026 e, secondo la procedura standard di Responsible Disclosure, ha fissato la scadenza per la divulgazione al 24 luglio 2026.
Un portavoce di Telegram ha negato l'esistenza della vulnerabilità, ma ciò contrasta con gli avvisi ufficiali di ZDI e CSIRT Italy, e gli esperti del settore esprimono forti dubbi sulle affermazioni di Telegram.
| Voce | Stato |
|---|---|
| Notifica a Telegram | 26 marzo 2026 |
| Patch ufficiale Telegram | Non annunciata |
| Divulgazione prevista ZDI | 24 luglio 2026 (in caso di patch incompleta, divulgazione completa dei dettagli tecnici) |
| Allerta CSIRT Italia | Emessa (con analisi ufficiale e guida alla mitigazione) |
| Posizione ufficiale Telegram | Negazione dell'esistenza della vulnerabilità (confutata dagli esperti del settore) |