gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportEnviei um relatório sobre a vulnerabilidade do sticker do Telegram, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Não corrigida (em 2026-03-30)
Autor: Dennis Kim (@gameworkerkim)
Data de criação: 30 de março de 2026
Contato: [email protected]
Trata-se de uma vulnerabilidade de execução remota de código (RCE) zero-click (0-Click) nas plataformas Telegram Android/Linux, sobre a qual o CSIRT Italy, da Agência Nacional de Cibersegurança da Itália (ACN), emitiu um alerta oficial no final de março de 2026. Foi descoberta pelo pesquisador Michael DePlante(@izobashi) do Trend Micro Zero Day Initiative (ZDI), e recebeu o identificador interno ZDI-CAN-30207.
Esta vulnerabilidade permite que um atacante execute código arbitrário no dispositivo da vítima apenas enviando a ela um sticker animado (Animated Sticker) ou arquivo de mídia manipulado. Nenhuma ação do usuário (clique, aceitação de download etc.) é necessária, o que a torna um dos tipos de vulnerabilidade mais perigosos no campo da segurança de mensageiros.
| Item | Conteúdo |
|---|---|
| Identificador da vulnerabilidade | ZDI-CAN-30207 (CVE não atribuído) |
| Pontuação CVSS v3.1 | 9.8 / 10 (Critical) |
| Vetor CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Tipo de vulnerabilidade | Zero-Click Remote Code Execution (RCE) |
| Descobridor | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Plataformas afetadas | Telegram Android, Telegram Linux |
| Data de notificação ao Telegram | 26 de março de 2026 |
| Data prevista de divulgação | 24 de julho de 2026 (política padrão de 90-120 dias do ZDI) |
| Situação da correção | ⚠️ Não corrigida (No official patch as of 2026-03-30) |
| Divulgação de PoC | Não divulgada (possibilidade de exploit privado existente) |
| Exploração real | Não confirmada (No confirmed in-the-wild exploitation) |
| Alerta do CSIRT | Alerta oficial emitido pelo CSIRT Italy (ACN) |
O cerne do ataque está no processo de geração automática de pré-visualização (Preview) de arquivos de mídia recebidos pelo Telegram (especialmente stickers animados). Nessa etapa de parsing, um arquivo manipulado aciona um caminho de código vulnerável, levando à RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Métrica | Valor | Significado |
|---|---|---|
| Attack Vector (AV) | Network | Ataque remoto possível através da internet |
| Attack Complexity (AC) | Low | Não são necessárias condições especiais ou técnicas complexas de contorno |
| Privileges Required (PR) | None | Não são necessárias contas de atacante ou privilégios especiais |
| User Interaction (UI) | None | Nenhuma ação da vítima é necessária (Zero-Click) |
| Scope (S) | Unchanged | Impacto dentro do componente vulnerável |
| Confidentiality (C) | High | Comprometimento total da confidencialidade de mensagens, sessões, mídia, etc. |
| Integrity (I) | High | Possibilidade de adulteração de arquivos e dados do sistema |
| Availability (A) | High | Interrupção do serviço e comprometimento da disponibilidade do dispositivo |
A biblioteca rlottie do Telegram (motor de renderização de stickers animados) já teve, em 2021, diversas vulnerabilidades semelhantes (Heap Buffer Overflow, Stack Overflow, Type Confusion) descobertas pela equipe de pesquisa Shielder nas versões Android/iOS/macOS. Na época, as vulnerabilidades exigiam interação mínima do usuário, mas o ZDI-CAN-30207 é ainda mais grave por ter alcançado um zero-click completo.
Telegram rlottie GitHub
⚠️ A maioria dos commits é de 7 anos atrás, indicando ausência de manutenção contínua.
O rlottie foi desenvolvido em C++14 e, devido às características do C++ moderno, possui alto nível de abstração e não é fácil de depurar. O fato de a maioria dos commits do código-fonte no GitHub datar de 7 anos atrás sugere que a ausência de manutenção contínua não é alheia à ocorrência desta vulnerabilidade.
O Telegram possui mais de 1 bilhão de usuários ativos em todo o mundo.
| Classificação | Conteúdo |
|---|---|
| Plataformas com impacto confirmado | Telegram for Android, Telegram for Linux |
| Impacto potencial não confirmado | Versões iOS, Windows, macOS |
| Alvos vulneráveis | Todos os usuários que recebem mensagens de remetentes desconhecidos através do Telegram |
Vulnerabilidades RCE de zero-click com CVSS 9.8 têm sido historicamente alvos principais de grupos de ciberataque patrocinados por Estados (APT) e de desenvolvedores comerciais de spyware (como o NSO Group).
⚠️ Importante: desativar o download automático não bloqueia esta vulnerabilidade.
A vulnerabilidade é acionada não na etapa de execução do arquivo após a conclusão do download, mas na etapa de análise de pré-visualização que ocorre automaticamente ao receber a mensagem. A desativação do download automático nas configurações não constitui uma medida de mitigação eficaz.
Até o momento, o lado oficial do Telegram mantém um silêncio bastante incomum. O ZDI notificou o Telegram sobre a vulnerabilidade em 26 de março de 2026 e, seguindo o procedimento padrão de divulgação responsável (Responsible Disclosure), estabeleceu 24 de julho de 2026 como prazo de divulgação.
Um porta-voz do Telegram negou a existência da vulnerabilidade, mas isso contradiz os alertas oficiais do ZDI e do CSIRT Italy, e especialistas do setor expressam forte ceticismo quanto à alegação do Telegram.
| Item | Status |
|---|---|
| Notificação via Telegram | 26 de março de 2026 |
| Patch oficial do Telegram | Não divulgado |
| Divulgação prevista pelo ZDI | 24 de julho de 2026 (divulgação completa dos detalhes técnicos caso o patch não seja concluído) |
| Alerta do CSIRT Italy | Emitido (análise oficial e guia de mitigação fornecidos) |
| Posição oficial do Telegram | Nega a existência da vulnerabilidade (especialistas do setor contestam) |