gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportTelegramステッカーの脆弱性に関するレポートを提出しました。SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE脆弱性 ZDI-CAN-30207 | CVSS 9.8 CRITICAL。
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | 未パッチ (2026-03-30 時点)
作成者: Dennis Kim (@gameworkerkim)
作成日: 2026年3月30日
連絡先: [email protected]
イタリア国家サイバーセキュリティ庁(ACN)のCSIRT Italyが2026年3月末に公式警報を発令した、Telegram Android/Linuxプラットフォームのゼロクリック(0-Click)リモートコード実行(RCE)脆弱性です。Trend Micro Zero Day Initiative(ZDI)の研究者Michael DePlante(@izobashi)によって発見され、内部識別子ZDI-CAN-30207が付与されました。
本脆弱性は、細工されたアニメーションステッカー(Animated Sticker)またはメディアファイルを被害者に送信するだけで、攻撃者が被害者のデバイス上で任意のコードを実行できるものです。ユーザーによるいかなる操作(クリック、ダウンロードの承諾など)も必要とせず、これはメッセンジャーセキュリティ分野において最も危険な脆弱性タイプの一つです。
| 項目 | 内容 |
|---|---|
| 脆弱性識別子 | ZDI-CAN-30207 (CVE未付与) |
| CVSS v3.1 スコア | 9.8 / 10 (Critical) |
| CVSSベクター | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 脆弱性タイプ | Zero-Click Remote Code Execution (RCE) |
| 発見者 | Michael DePlante (@izobashi) / Trend Micro ZDI |
| 影響プラットフォーム | Telegram Android, Telegram Linux |
| Telegram通知日 | 2026年3月26日 |
| 公開予定日 | 2026年7月24日 (ZDI標準90-120日ポリシー) |
| パッチ状況 | ⚠️ 未パッチ (No official patch as of 2026-03-30) |
| PoC公開 | 未公開 (非公開Exploitの存在可能性あり) |
| 実際の悪用状況 | 未確認 (No confirmed in-the-wild exploitation) |
| CSIRT警報 | CSIRT Italy (ACN) 公式警報発令 |
攻撃の核心は、Telegramが受信したメディアファイル(特にアニメーションステッカー)に対してプレビュー(Preview)を自動生成するプロセスにあります。このパース段階で、細工されたファイルが脆弱なコードパスをトリガーし、RCEへと至ります。
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| メトリクス | 値 | 意味 |
|---|---|---|
| Attack Vector (AV) | Network | インターネット経由でリモートから攻撃可能 |
| Attack Complexity (AC) | Low | 特殊な条件や複雑な回避手法は不要 |
| Privileges Required (PR) | None | 攻撃者アカウントや特別な権限は不要 |
| User Interaction (UI) | None | 被害者のいかなる行為も不要 (Zero-Click) |
| Scope (S) | Unchanged | 脆弱なコンポーネント内で影響 |
| Confidentiality (C) | High | メッセージ、セッション、メディアなど機密性全体が侵害 |
| Integrity (I) | High | システムファイルおよびデータの改ざんが可能 |
| Availability (A) | High | サービス停止およびデバイス可用性の侵害 |
Telegramの rlottie ライブラリ(アニメーションステッカーのレンダリングエンジン)は、2021年にShielder研究チームによってAndroid/iOS/macOS版で類似の脆弱性(Heap Buffer Overflow、Stack Overflow、Type Confusion)が多数発見された前歴があります。当時の脆弱性は最小限のユーザーインタラクションを必要としましたが、ZDI-CAN-30207は完全なゼロクリックを達成した点でさらに深刻です。
Telegram rlottie GitHub
⚠️ ほとんどのコミットが7年前であり、継続的なメンテナンスが欠如している状態です。
rlottieは C++14 で開発されており、モダンC++の特性上、抽象化レベルが高くデバッグが容易ではありません。GitHubソースコードのほとんどのコミット時期が7年前であるという点で、継続的なメンテナンスの欠如と今回の脆弱性発生は無関係ではないと考えられます。
Telegramは世界中で 10億人以上 のアクティブユーザーを抱えています。
| 分類 | 内容 |
|---|---|
| 確認された影響プラットフォーム | Telegram for Android, Telegram for Linux |
| 潜在的な影響が未確認 | iOS、Windows、macOS版 |
| 脆弱な対象 | Telegramを通じて不特定の送信者からメッセージを受信するすべてのユーザー |
CVSS 9.8の完全なゼロクリックRCE脆弱性は、歴史的に 国家支援サイバー攻撃グループ(APT) および商業的スパイウェア開発者(NSO Groupなど)の主要な標的となってきました。
⚠️ 重要: 自動ダウンロードを無効化しても、この脆弱性は遮断されません。
脆弱性はダウンロード完了後のファイル実行段階ではなく、メッセージ受信時に自動的に発生するプレビュー解析段階でトリガーされます。設定の自動ダウンロード無効化は有効な緩和手段とはなりません。
これまでTelegram公式側は非常に異例の沈黙を維持しています。ZDIは2026年3月26日にTelegramへ脆弱性を通知し、標準的な責任ある開示(Responsible Disclosure)手順に従い、2026年7月24日を公開期限として設定しました。
Telegramの報道官はこの脆弱性の存在を否定しましたが、ZDIとCSIRT Italyの公式警報と相反しており、業界の専門家はTelegramの主張に強い疑念を表明しています。
| 項目 | 状況 |
|---|---|
| Telegram 通報 | 2026年3月26日 |
| Telegram 公式パッチ | 未発表 |
| ZDI 公開予定 | 2026年7月24日（パッチ未完了の場合は技術詳細を全面公開） |
| CSIRT Italy 警報 | 発令済み（公式分析および緩和ガイドを提供） |
| Telegram 公式見解 | 脆弱性の存在を否定（業界専門家が反論中） |
⚠️ 注意: IoC(Indicators of Compromise) 未公開 — 侵害の有無を検知する機能は極めて限定的
これまで公式 IoC が公開されていないため、侵害有無の検知は非常に困難です。次の異常兆候をモニタリングしてください：
| 日付 | イベント |
|---|---|
| 2026年3月26日 | Michael DePlante（ZDI）が Telegram に脆弱性を通知 |
| 2026年3月26日 | ZDI ポータルに ZDI-CAN-30207 を登録（Upcoming カテゴリ） |
| 2026年3月27日 | Kaspersky、Positive Technologies などセキュリティコミュニティが警報 |
| 2026年3月28日 | CSIRT Italy（ACN）が公式警報を発令し緩和ガイドを提供 |
| 2026年3月29～30日 | ダークウェブで脆弱性情報の販売告知を捕捉（未確認） |
| 2026年3月30日 | 本報告書作成時点 — パッチ未発表、Telegram は否定の立場 |
| 2026年7月24日 | ZDI 公開予定日（パッチ未完了の場合は技術詳細を全面公開） |
ZDI-CAN-30207 はメッセンジャーセキュリティの歴史において最も危険な脆弱性類型の一つです。CVSS 9.8 の完全なゼロクリック RCE は、被害者が何もしなくても端末が完全に掌握され得ることを意味します。
Telegram の公式否定にもかかわらず、ZDI（Trend Micro）の信頼性、CSIRT Italy の公式警報、そして世界中のセキュリティコミュニティの一貫した警告を考慮すると、この脆弱性を無視することは非常に危険な判断です。
特に 暗号資産コミュニティおよびロシア-ウクライナ戦争 などで Telegram が広く使用されているため、今回のゼロデイ脆弱性の爆発的な波及力は一般的なメッセンジャー脆弱性を大きく上回ります。
📌 本レポートは英語に翻訳され、Telegram 関係者に伝達されました。
❗ 最終勧告
高リスクユーザーおよび組織は、公式パッチ発表まで Telegram Android/Linux ネイティブアプリを業務通信に使用しないことを強く勧告します。
本レポートは公開されているセキュリティ情報に基づき、防御目的で作成されています。
This report is written for defensive purposes based on publicly available security information.