gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportI have submitted a report on the Telegram sticker vulnerability, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | 미패치 (2026-03-30 기준)
작성자: Dennis Kim (@gameworkerkim)
작성일: 2026년 3월 30일
연락처: [email protected]
이탈리아 국가사이버보안청(ACN)의 CSIRT Italy가 2026년 3월 말 공식 경보를 발령한 Telegram Android/Linux 플랫폼의 제로클릭(0-Click) 원격코드실행(RCE) 취약점입니다. Trend Micro Zero Day Initiative(ZDI)의 연구원 **Michael DePlante(@izobashi)**가 발견하였으며, 내부 식별자 ZDI-CAN-30207이 부여되었습니다.
본 취약점은 조작된 애니메이션 스티커(Animated Sticker) 또는 미디어 파일을 피해자에게 전송하는 것만으로 공격자가 피해 장치에서 임의의 코드를 실행할 수 있습니다. 사용자의 어떠한 행위(클릭, 다운로드 수락 등)도 필요하지 않으며, 이는 메신저 보안 분야에서 가장 위험한 취약점 유형 중 하나입니다.
| 항목 | 내용 |
|---|---|
| 취약점 식별자 | ZDI-CAN-30207 (CVE 미부여) |
| CVSS v3.1 점수 | 9.8 / 10 (Critical) |
| CVSS 벡터 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 취약점 유형 | Zero-Click Remote Code Execution (RCE) |
| 발견자 | Michael DePlante (@izobashi) / Trend Micro ZDI |
| 영향 플랫폼 | Telegram Android, Telegram Linux |
| Telegram 통보일 | 2026년 3월 26일 |
| 공개 예정일 | 2026년 7월 24일 (ZDI 표준 90-120일 정책) |
| 패치 현황 | ⚠️ 미패치 (No official patch as of 2026-03-30) |
| PoC 공개 | 미공개 (비공개 Exploit 존재 가능성) |
| 실제 악용 여부 | 미확인 (No confirmed in-the-wild exploitation) |
| CSIRT 경보 | CSIRT Italy (ACN) 공식 경보 발령 |
공격의 핵심은 Telegram이 수신한 미디어 파일(특히 애니메이션 스티커)에 대해 미리보기(Preview)를 자동 생성하는 과정에 있습니다. 이 파싱 단계에서 조작된 파일이 취약한 코드 경로를 트리거하여 RCE로 이어집니다.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| 메트릭 | 값 | 의미 |
|---|---|---|
| Attack Vector (AV) | Network | 인터넷을 통해 원격에서 공격 가능 |
| Attack Complexity (AC) | Low | 특수 조건이나 복잡한 우회 기법 불필요 |
| Privileges Required (PR) | None | 공격자 계정이나 특별 권한 불필요 |
| User Interaction (UI) | None | 피해자의 어떠한 행위도 필요 없음 (Zero-Click) |
| Scope (S) | Unchanged | 취약한 컴포넌트 내에서 영향 |
| Confidentiality (C) | High | 메시지, 세션, 미디어 등 전체 기밀성 침해 |
| Integrity (I) | High | 시스템 파일 및 데이터 변조 가능 |
| Availability (A) | High | 서비스 중단 및 장치 가용성 침해 |
Telegram의 rlottie 라이브러리(애니메이션 스티커 렌더링 엔진)는 2021년 Shielder 연구팀에 의해 Android/iOS/macOS 버전에서 유사한 취약점(Heap Buffer Overflow, Stack Overflow, Type Confusion)이 다수 발견된 전력이 있습니다. 당시 취약점들은 최소한의 사용자 인터랙션이 필요했으나, ZDI-CAN-30207은 완전한 제로클릭을 달성한 점에서 더욱 심각합니다.
Telegram rlottie GitHub
⚠️ 대부분의 커밋이 7년 전으로, 지속적인 유지보수가 부재한 상태입니다.
rlottie는 C++14로 개발되었으며, 모던 C++의 특성상 추상화 레벨이 높고 디버깅이 쉽지 않습니다. GitHub 소스코드의 대부분 커밋 시기가 7년 전이라는 점에서 지속적인 유지보수가 빠진 상황과 이번 취약점 발생은 무관하지 않은 것으로 보입니다.
Telegram은 전 세계 10억 명 이상의 활성 사용자를 보유하고 있습니다.
| 분류 | 내용 |
|---|---|
| 확인된 영향 플랫폼 | Telegram for Android, Telegram for Linux |
| 잠재적 영향 미확인 | iOS, Windows, macOS 버전 |
| 취약 대상 | Telegram을 통해 불특정 발신자로부터 메시지를 수신하는 모든 사용자 |
CVSS 9.8의 완전한 제로클릭 RCE 취약점은 역사적으로 국가 지원 사이버 공격 그룹(APT) 및 상업적 스파이웨어 개발자(NSO Group 등)의 주요 표적이 되어왔습니다.
⚠️ 중요: 자동 다운로드를 비활성화해도 이 취약점은 차단되지 않습니다.
취약점은 다운로드 완료 후의 파일 실행 단계가 아닌, 메시지 수신 시 자동으로 발생하는 미리보기 파싱 단계에서 트리거됩니다. 설정의 자동 다운로드 비활성화는 유효한 완화 수단이 되지 못합니다.
현재까지 Telegram 공식 측은 매우 이례적인 침묵을 유지하고 있습니다. ZDI는 2026년 3월 26일 Telegram에 취약점을 통보하였으며, 표준 책임 공개(Responsible Disclosure) 절차에 따라 2026년 7월 24일을 공개 기한으로 설정하였습니다.
Telegram 대변인은 이 취약점의 존재를 부인하였으나, ZDI와 CSIRT Italy의 공식 경보와 상반되며 업계 전문가들은 Telegram의 주장에 강한 의구심을 표명하고 있습니다.
| 항목 | 현황 |
|---|---|
| Telegram 통보 | 2026년 3월 26일 |
| Telegram 공식 패치 | 미발표 |
| ZDI 공개 예정 | 2026년 7월 24일 (패치 미완료 시 전체 기술 상세 공개) |
| CSIRT Italy 경보 | 발령 완료 (공식 분석 및 완화 가이드 제공) |
| Telegram 공식 입장 | 취약점 존재 부인 (업계 전문가 반박 중) |
⚠️ 주의: IoC(Indicators of Compromise) 미공개 — 침해 여부 탐지 기능 극히 제한됨
현재까지 공식 IoC가 공개되지 않아 침해 여부 탐지가 매우 어렵습니다. 다음 이상 징후를 모니터링하시기 바랍니다:
| 날짜 | 이벤트 |
|---|---|
| 2026년 3월 26일 | Michael DePlante(ZDI)가 Telegram에 취약점 통보 |
| 2026년 3월 26일 | ZDI 포털에 ZDI-CAN-30207 등록 (Upcoming 카테고리) |
| 2026년 3월 27일 | Kaspersky, Positive Technologies 등 보안 커뮤니티 경보 |
| 2026년 3월 28일 | CSIRT Italy(ACN) 공식 경보 발령 및 완화 가이드 제공 |
| 2026년 3월 29~30일 | 다크웹에서 취약점 정보 판매 공고 포착 (미확인) |
| 2026년 3월 30일 | 본 보고서 작성 기준 — 패치 미발표, Telegram 부인 입장 |
| 2026년 7월 24일 | ZDI 공개 예정일 (패치 미완료 시 전체 기술 상세 공개) |
ZDI-CAN-30207은 메신저 보안 역사에서 가장 위험한 취약점 유형 중 하나입니다. CVSS 9.8의 완전한 제로클릭 RCE는 피해자가 아무것도 하지 않아도 장치가 완전히 장악될 수 있음을 의미합니다.
Telegram의 공식 부인에도 불구하고, ZDI(Trend Micro)의 신뢰성, CSIRT Italy의 공식 경보, 그리고 전 세계 보안 커뮤니티의 일관된 경고를 고려할 때 이 취약점을 무시하는 것은 매우 위험한 판단입니다.
특히 암호화폐 커뮤니티 및 러시아-우크라이나 전쟁 등에 Telegram이 폭넓게 사용되고 있기 때문에 이번 제로데이 취약점의 폭발적 파급력은 일반적인 메신저 취약점을 크게 상회합니다.
📌 본 리포트는 영어로 번역되어 Telegram 관계자에게 전달되었습니다.
❗ 최종 권고
고위험 사용자 및 조직은 공식 패치 발표 전까지 Telegram Android/Linux 네이티브 앱을 업무 통신에 사용하지 않도록 강력히 권고합니다.
본 보고서는 공개된 보안 정보를 바탕으로 방어 목적으로 작성되었습니다.
This report is written for defensive purposes based on publicly available security information.