Falha no Telegram para Android permitia invadir celular só com uma chamada de voz

Uma vulnerabilidade no Telegram para Android permitia que um invasor executasse código no celular da vítima durante uma chamada de voz, bastando que ela atendesse. A falha foi encontrada pela empresa de segurança NebuSec e divulgada em 29 de outubro. O problema já foi corrigido na versão 12.10.4 do app.

Segundo a NebuSec, o erro estava no tratamento das mensagens de configuração e de estado das ligações. Quando esses dados chegavam sem alguns campos esperados, o aplicativo acessava uma área indevida da memória, o que abria caminho para rodar código malicioso. Para atacar, bastava ter uma conta comum no Telegram.

Foram afetadas as versões 8.6.2 a 12.10.3 para Android, lançadas entre março de 2022 e setembro de 2026. O ataque foi confirmado em chamadas privadas em aparelhos com processador ARM64. Não há indícios de impacto nas versões para iOS e computador nem em chamadas em grupo, que já tinham recebido a correção antes.

De acordo com o Canaltech, a descoberta contou com ajuda do modelo de IA GPT-5.4, da OpenAI. Até a divulgação, não havia registro de uso da brecha em ataques reais, e a falha ainda não tinha um identificador CVE.

O que fazer

Atualize o Telegram pela Play Store. Para conferir a versão instalada, abra as configurações do app e role até o fim da tela, ou vá em Configurações do Android, Aplicativos, Telegram. O número precisa ser 12.10.4 ou superior.

Com informações de Canaltech (29/10/2026) e Olhar Digital (29/10/2026).