我已提交一份关于 Telegram 贴纸漏洞的报告，SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL。
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | 未修补（截至 2026-03-30）
作者： Dennis Kim (@gameworkerkim)
编写日期： 2026年3月30日
联系方式： [email protected]
这是意大利国家网络安全局（ACN）的 CSIRT Italy 于 2026 年 3 月底发布官方警报的 Telegram Android/Linux 平台零点击（0-Click）远程代码执行（RCE）漏洞。该漏洞由 Trend Micro Zero Day Initiative（ZDI）的研究员 Michael DePlante（@izobashi） 发现，并被赋予内部标识符 ZDI-CAN-30207。
本漏洞仅需向受害者发送经过构造的动画贴纸（Animated Sticker）或媒体文件，攻击者即可在受害者设备上执行任意代码。无需用户进行任何操作（点击、接受下载等），这是即时通讯安全领域中最危险的漏洞类型之一。
| 项目 | 内容 |
|---|---|
| 漏洞标识符 | ZDI-CAN-30207（未分配 CVE） |
| CVSS v3.1 评分 | 9.8 / 10（Critical） |
| CVSS 向量 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 漏洞类型 | Zero-Click Remote Code Execution (RCE) |
| 发现者 | Michael DePlante (@izobashi) / Trend Micro ZDI |
| 受影响平台 | Telegram Android、Telegram Linux |
| Telegram 通报日期 | 2026年3月26日 |
| 计划公开日期 | 2026年7月24日（ZDI 标准 90-120 天政策） |
| 补丁状态 | ⚠️ 未修补（No official patch as of 2026-03-30） |
| PoC 公开情况 | 未公开（可能存在非公开 Exploit） |
| 实际利用情况 | 未确认（No confirmed in-the-wild exploitation） |
| CSIRT 警报 | CSIRT Italy（ACN）发布官方警报 |
攻击的核心在于 Telegram 对接收到的媒体文件（尤其是动画贴纸）自动生成预览（Preview）的过程。在此解析阶段，经过构造的文件会触发存在漏洞的代码路径，进而导致 RCE。
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| 指标 | 值 | 含义 |
|---|---|---|
| Attack Vector (AV) | Network | 可通过互联网远程攻击 |
| Attack Complexity (AC) | Low | 无需特殊条件或复杂的绕过技术 |
| Privileges Required (PR) | None | 无需攻击者账户或特殊权限 |
| User Interaction (UI) | None | 无需受害者的任何操作 (Zero-Click) |
| Scope (S) | Unchanged | 影响范围限于存在漏洞的组件内 |
| Confidentiality (C) | High | 消息、会话、媒体等整体机密性遭到破坏 |
| Integrity (I) | High | 可篡改系统文件及数据 |
| Availability (A) | High | 服务中断及设备可用性遭到破坏 |
Telegram 的 rlottie 库（动画贴纸渲染引擎）曾在 2021 年被 Shielder 研究团队在 Android/iOS/macOS 版本中发现大量类似漏洞（Heap Buffer Overflow、Stack Overflow、Type Confusion）。当时的漏洞需要最少的用户交互，而 ZDI-CAN-30207 实现了完全的零点击，因此更为严重。
Telegram rlottie GitHub
⚠️ 大部分提交均为 7 年前，处于缺乏持续维护的状态。
rlottie 使用 C++14 开发，由于现代 C++ 的特性，其抽象层级较高，调试并不容易。GitHub 源代码的大部分提交时间均为 7 年前，这一持续维护缺失的状况与本次漏洞的发生不无关系。
Telegram 在全球拥有 超过 10 亿 活跃用户。
| 分类 | 内容 |
|---|---|
| 已确认受影响平台 | Telegram for Android, Telegram for Linux |
| 潜在影响未确认 | iOS、Windows、macOS 版本 |
| 受影响对象 | 所有通过 Telegram 接收来自不特定发件人消息的用户 |
CVSS 9.8 的完全零点击 RCE 漏洞在历史上一直是 国家支持的 cyber 攻击组织（APT） 及商业间谍软件开发者（如 NSO Group 等）的主要目标。
⚠️ 重要：即使禁用自动下载，也无法阻止此漏洞。
该漏洞并非在下载完成后的文件执行阶段触发，而是在 接收消息时自动发生的预览解析阶段 触发。在设置中禁用自动下载并不能成为有效的缓解手段。
截至目前，Telegram 官方保持着极为罕见的沉默。ZDI 已于 2026 年 3 月 26 日向 Telegram 通报了该漏洞，并按照标准的负责任披露（Responsible Disclosure）流程，将 2026 年 7 月 24 日 设定为公开期限。
Telegram 发言人否认了该漏洞的存在，但这与 ZDI 和 CSIRT Italy 的官方警报相矛盾，业界专家对 Telegram 的主张表示了强烈质疑。
| 项目 | 现状 |
|---|---|
| Telegram 通报 | 2026年3月26日 |
| Telegram 官方补丁 | 未发布 |
| ZDI 公开预定 | 2026年7月24日（若补丁未完成则公开全部技术细节） |
| CSIRT Italy 警报 | 已发布（提供官方分析及缓解指南） |
| Telegram 官方立场 | 否认漏洞存在（业界专家正在反驳） |
⚠️ 注意：未公开 IoC（Indicators of Compromise，入侵指标）—— 检测是否遭受入侵的能力极为有限
截至目前尚未公开官方 IoC，因此极难检测是否遭受入侵。请监控以下异常迹象：
| 日期 | 事件 |
|---|---|
| 2026年3月26日 | Michael DePlante（ZDI）向 Telegram 通报漏洞 |
| 2026年3月26日 | 在 ZDI 门户注册 ZDI-CAN-30207（Upcoming 类别） |
| 2026年3月27日 | Kaspersky、Positive Technologies 等安全社区发出警报 |
| 2026年3月28日 | CSIRT Italy（ACN）发布官方警报并提供缓解指南 |
| 2026年3月29~30日 | 在暗网发现漏洞信息出售公告（未确认） |
| 2026年3月30日 | 本报告撰写基准 — 补丁未发布，Telegram 持否认立场 |
| 2026年7月24日 | ZDI 预定公开日（若补丁未完成则公开全部技术细节） |
ZDI-CAN-30207 是 messenger 安全历史上最危险的漏洞类型之一。CVSS 9.8 的完全零点击 RCE 意味着即使受害者什么都不做，设备也可能被完全控制。
尽管 Telegram 官方否认，但考虑到 ZDI（Trend Micro）的可信度、CSIRT Italy 的官方警报以及全球安全社区的一致警告，忽视该漏洞是极其危险的判断。
特别是由于 Telegram 在加密货币社区及俄乌战争等场景中被广泛使用，此次零日漏洞的爆炸性影响远超一般 messenger 漏洞。
📌 本报告已翻译为英文并转交给 Telegram 相关人员。
❗ 最终建议
强烈建议高风险用户及组织在官方补丁发布前，不要将 Telegram Android/Linux 原生应用用于业务通信。
본 보고서는 공개된 보안 정보를 바탕으로 방어 목적으로 작성되었습니다.
本报告基于公开的安全信息，出于防御目的撰写。