Un fallo de Telegram en Android permitía ejecutar código en el teléfono de otra persona con solo lograr que contestara una llamada. Las llamadas de voz de Telegram quedaron en el centro del caso el 29 de octubre, cuando la empresa de seguridad NebuSec divulgó el error y mostró una demostración en video. El atacante necesitaba una cuenta común de la aplicación, nada más. Y la corrección ya circulaba: llegó en la versión 12.10.4, publicada a finales de septiembre.
El fallo solo abría la primera rendija. Combinado con un segundo error, uno de fuga de información, el atacante salía de la aplicación y entraba al sistema Android. Un tercer fallo, de acceso de raíz, cerraba la cadena con el control completo del equipo: mensajes, micrófono y cámara. Eten Zou, cofundador y director ejecutivo de NebuSec, contó esos detalles a The Hacker News. Las pruebas ocurrieron en llamadas privadas de voz, en teléfonos con procesadores ARM64.
Cuatro años escondido en el código de las llamadas
Las versiones afectadas van de la 8.6.2 a la 12.10.3, publicadas entre marzo de 2022 y septiembre de 2026. Durante una llamada, las dos aplicaciones se envían mensajes cortos para montar la conexión e informar su estado. Uno de esos tipos de mensaje, llamado MediaState, avisa si el micrófono está silenciado, si la cámara está encendida y cómo gira el video. El código que lee esos mensajes trataba mal los campos ausentes y tocaba memoria que no debía tocar, reportó NebuSec.
The Hacker News revisó el código fuente público de la versión 12.10.3 y halló un defecto que coincide con esa descripción. Cuando un mensaje MediaState traía un valor de rotación, el código lo comprobaba y después leía otro campo, el estado del video, aunque el mensaje no lo trajera. La versión 12.10.4 lee la rotación desde el campo correcto. El detalle incómodo está en las fechas: tgcalls, la biblioteca de llamadas que comparten las aplicaciones de Android, iOS y escritorio, recibió una corrección equivalente, etiquetada «Fix camera rotation», el 21 de abril de 2026. El código de iOS la incorporó en mayo, con la versión 12.7. El de escritorio la sumó en julio, con la 7.0.1. Android esperó hasta septiembre.
El riesgo para quien usa la aplicación ya tuvo otras caras este mismo mes. Un programa espía que robaba cuentas de Telegram circuló con promesas de funciones extra, y la vía de entrada fue la confianza del usuario. Esta vez la puerta era una llamada común, de las que llegan a diario.
Telegram no aceptó la palabra ejecución remota
NebuSec reportó el fallo a Telegram el 26 de septiembre, cuando la versión 12.10.4 ya estaba en la calle. Telegram reconoció el reporte y no aceptó que el error permitiera ejecutar código a distancia. No se asignó un identificador CVE (la clave pública con la que se catalogan las vulnerabilidades) ni se pagó recompensa, contó Zou. The Hacker News pidió a Telegram un comentario sobre el caso. Al 29 de octubre, el fallo seguía sin CVE.
Lo que sostiene la versión de NebuSec es un video corto. Dos teléfonos aparecen marcados, atacante y víctima. La víctima acepta la llamada y, cerca de medio minuto después, la pantalla salta al inicio, los iconos caen y surge un logo con la frase «HACKED BY NEBUSEC». El video no muestra qué versión de Telegram ni de Android corría el teléfono atacado. Tampoco hay un informe técnico público de la empresa: la cadena completa, con los otros dos fallos, descansa en ese video y en la palabra de NebuSec. La empresa afirma que no ha visto el fallo usado en ataques reales.
Fallo de Telegram en Android y la búsqueda con modelos de lenguaje
El hallazgo trae una firma llamativa. NebuSec, una empresa joven respaldada por la aceleradora Y Combinator, informó que su producto Code Security, apoyado en el modelo GPT-5.4 de OpenAI, encontró el error en el código de llamadas. En julio, la misma empresa describió otra cadena de ataque que partía de un fallo de Firefox y llegaba al núcleo de un equipo ARM64 con Android 17. El patrón se repite en la industria: los modelos de lenguaje ya revisan código ajeno buscando huecos, y los huecos aparecen en aplicaciones con cientos de millones de descargas.
Otro frente de la misma aplicación ayuda a dimensionar el momento. La iniciativa Zero Day Initiative publicó el 15 de octubre un aviso sobre rlottie, la biblioteca con la que Telegram dibujaba los stickers animados: el fallo CVE-2026-111105, con nota 7.0 en la escala CVSS, permite ejecutar código si la víctima abre un archivo o una página preparados. La aplicación de Android cambió rlottie por tlottie, una biblioteca escrita en Rust, entre junio y agosto. La de escritorio hizo el cambio en septiembre.
La protección práctica cabe en dos toques. El número de versión de Telegram aparece al pie de la página de Ajustes de la aplicación: quien vea 12.10.3 o una cifra menor debe actualizar a la 12.10.4 o a una posterior. Poner la privacidad de las llamadas de voz de Telegram en «Nadie» bloquea este ataque por completo, y rechazar la llamada de un desconocido logra el mismo efecto. El fallo vivió en el código desde marzo de 2022; su corrección para Android tardó cinco meses más que la de iOS, y esa espera es el dato que queda.
Fuente: The Hacker News
