O Telegram para Android teve uma brecha que abria caminho para o controle completo do celular a partir de uma simples ligação de voz pelo aplicativo. A descoberta é da NebuSec, startup de segurança cujo cofundador e CEO, Eten Zou, tornou o caso público no X nesta semana. A correção já saiu na versão 12.10.4. Quem não atualizou continua exposto.
O golpe tem uma condição: o alvo precisa atender. Basta uma chamada vinda de um número desconhecido, aceita por reflexo, para o invasor entrar. Segundo a NebuSec, todas as versões do app para Android publicadas de março de 2022 até setembro de 2026 têm o problema, o que cobre mais de quatro anos de atualizações.
Onde estava o erro
O defeito fica na biblioteca que trata os pacotes de dados trocados durante a chamada. Quando um desses pacotes trazia a mensagem de rotação, o código buscava informações no lugar errado da memória. Sozinho, esse erro já é grave. A NebuSec, porém, mostrou que ele pode ser encadeado com outras duas vulnerabilidades para escapar do isolamento do aplicativo e chegar ao próprio sistema Android. É essa combinação que transforma uma leitura de memória incorreta em execução remota de código.
O ajuste no Android repete a solução que o Telegram já tinha aplicado antes nas versões para computador e iPhone, que usam a mesma biblioteca de chamadas. Quem usa o app nessas plataformas não precisa fazer nada além de manter o aplicativo atualizado.
A startup diz ter encontrado a falha com ferramentas automatizadas de análise de código baseadas em IA. Na própria publicação, a empresa afirma ter usado o GPT-5.4, modelo da OpenAI que ela mesma chama, em tom de piada, de dinossauro.
Telegram discordou da gravidade
A NebuSec conta que avisou os desenvolvedores assim que fechou a análise. A equipe do Telegram registrou o relato, mas não aceitou que o bug pudesse virar uma execução remota de código. Por causa dessa divergência, o caso ficou sem identificador CVE, o registro público usado para catalogar vulnerabilidades, e os pesquisadores não receberam recompensa pelo achado. Até a divulgação, não havia registro de ataques reais contra usuários usando a brecha.
O episódio não é isolado. A Zero Day Initiative já publicou alerta sobre falhas no componente que exibe figurinhas no Telegram, e o app também foi tema de apresentação na conferência OffensiveCon. No Brasil, onde o Telegram tem dezenas de milhões de usuários e é muito usado em grupos e canais abertos, receber ligação de desconhecido pelo app é comum, o que deixa a superfície de ataque maior.
O que fazer agora
A versão instalada aparece no rodapé da tela de Configurações do Telegram. Se o número for menor que 12.10.4, atualize pela Google Play. Para quem não pode atualizar de imediato, há um paliativo: em Privacidade e Segurança, mude a opção de chamadas para “Ninguém”. Com isso, ninguém consegue ligar para você pelo app e o ataque deixa de funcionar. A minha recomendação é fazer as duas coisas se você não usa ligações pelo Telegram: atualizar e bloquear as chamadas.
