gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportЯ отправил отчёт об уязвимости в стикерах Telegram: ОТЧЁТ ОБ АНАЛИЗЕ УЯЗВИМОСТИ БЕЗОПАСНОСТИ — уязвимость RCE без клика в Telegram ZDI-CAN-30207 | CVSS 9.8 КРИТИЧЕСКИЙ.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Не исправлено (по состоянию на 2026-03-30)
Автор: Dennis Kim (@gameworkerkim)
Дата создания: 30 марта 2026 г.
Контакт: [email protected]
Это уязвимость zero-click (0-Click) удалённого выполнения кода (RCE) на платформах Telegram Android/Linux, по которой Национальное агентство кибербезопасности Италии (ACN) в лице CSIRT Italy выпустило официальное предупреждение в конце марта 2026 года. Уязвимость обнаружена исследователем Michael DePlante (@izobashi) из Trend Micro Zero Day Initiative (ZDI), ей присвоен внутренний идентификатор ZDI-CAN-30207.
Данная уязвимость позволяет злоумышленнику выполнить произвольный код на устройстве жертвы путём простой отправки специально сформированного анимированного стикера (Animated Sticker) или медиафайла. Не требуется никаких действий со стороны пользователя (кликов, подтверждения загрузки и т. п.), что делает её одним из наиболее опасных типов уязвимостей в сфере безопасности мессенджеров.
| Пункт | Содержание |
|---|---|
| Идентификатор уязвимости | ZDI-CAN-30207 (CVE не присвоен) |
| Оценка CVSS v3.1 | 9.8 / 10 (Critical) |
| Вектор CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Тип уязвимости | Zero-Click Remote Code Execution (RCE) |
| Обнаружитель | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Затронутые платформы | Telegram Android, Telegram Linux |
| Дата уведомления Telegram | 26 марта 2026 г. |
| Планируемая дата раскрытия | 24 июля 2026 г. (стандартная политика ZDI 90–120 дней) |
| Статус исправления | ⚠️ Не исправлено (No official patch as of 2026-03-30) |
| Публикация PoC | Не опубликован (возможно наличие приватного эксплойта) |
| Фактическое использование | Не подтверждено (No confirmed in-the-wild exploitation) |
| Предупреждение CSIRT | Официальное предупреждение CSIRT Italy (ACN) |
Суть атаки заключается в процессе автоматического создания превью (Preview) для полученных медиафайлов (в особенности анимированных стикеров) в Telegram. На этом этапе парсинга специально сформированный файл активирует уязвимый путь выполнения кода, что приводит к RCE.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Метрика | Значение | Описание |
|---|---|---|
| Attack Vector (AV) | Network | Возможна удалённая атака через интернет |
| Attack Complexity (AC) | Low | Специальные условия или сложные обходные техники не требуются |
| Privileges Required (PR) | None | Учётная запись атакующего или особые привилегии не требуются |
| User Interaction (UI) | None | Какие-либо действия жертвы не требуются (Zero-Click) |
| Scope (S) | Unchanged | Воздействие в пределах уязвимого компонента |
| Confidentiality (C) | High | Полное нарушение конфиденциальности сообщений, сессий, медиа и т.д. |
| Integrity (I) | High | Возможна подмена системных файлов и данных |
| Availability (A) | High | Нарушение доступности сервиса и устройства |
Библиотека rlottie Telegram (движок рендеринга анимированных стикеров) в 2021 году уже имела историю: исследовательская команда Shielder обнаружила в версиях для Android/iOS/macOS множество похожих уязвимостей (Heap Buffer Overflow, Stack Overflow, Type Confusion). Тогдашние уязвимости требовали минимального взаимодействия с пользователем, однако ZDI-CAN-30207 серьёзнее тем, что достигает полного zero-click.
Telegram rlottie GitHub
⚠️ Большинство коммитов датируется 7-летней давностью, что свидетельствует об отсутствии постоянной поддержки.
rlottie разработан на C++14, и в силу особенностей современного C++ уровень абстракции высок, а отладка непроста. Тот факт, что большинство коммитов в исходном коде на GitHub датируется 7-летней давностью, по-видимому, неразрывно связан с отсутствием постоянной поддержки и возникновением данной уязвимости.
Telegram насчитывает более 1 миллиарда активных пользователей по всему миру.
| Категория | Содержание |
|---|---|
| Подтверждённые затронутые платформы | Telegram for Android, Telegram for Linux |
| Потенциально затронутые (не подтверждено) | Версии для iOS, Windows, macOS |
| Уязвимая категория | Все пользователи, получающие сообщения от неизвестных отправителей через Telegram |
Полностью zero-click RCE-уязвимость с CVSS 9.8 исторически была главной целью групп кибератак при поддержке государств (APT) и разработчиков коммерческого шпионского ПО (например, NSO Group).
⚠️ Важно: отключение автоматической загрузки не блокирует эту уязвимость.
Уязвимость срабатывает не на этапе запуска файла после завершения загрузки, а на этапе парсинга предпросмотра, который автоматически происходит при получении сообщения. Отключение автоматической загрузки в настройках не является действенной мерой смягчения.
До настоящего времени официальная сторона Telegram сохраняет весьма необычное молчание. ZDI уведомила Telegram об уязвимости 26 марта 2026 года и в соответствии со стандартной процедурой ответственного раскрытия (Responsible Disclosure) установила срок раскрытия — 24 июля 2026 года.
Представитель Telegram отрицал существование этой уязвимости, однако это противоречит официальным предупреждениям ZDI и CSIRT Italy, и отраслевые эксперты выражают сильные сомнения в утверждениях Telegram.
| Пункт | Статус |
|---|---|
| Уведомление Telegram | 26 марта 2026 г. |
| Официальный патч Telegram | не выпущен |
| Планируемая дата публикации ZDI | 24 июля 2026 г. (при отсутствии патча — полное раскрытие технических деталей) |
| Оповещение CSIRT Italy | выпущено (предоставлены официальный анализ и рекомендации по устранению) |
| Официальная позиция Telegram | отрицание наличия уязвимости (отраслевые эксперты опровергают) |