Uma falha de segurança descoberta na versão do Telegram para Android permite que invasores obtenham controle total de um telefone celular após a vítima atender a uma chamada de voz, segundo dados divulgados pela empresa de segurança NebuSec. A vulnerabilidade afeta versões do aplicativo lançadas entre março de 2022 e setembro deste ano.A exploração exige que a vítima receba e atenda a ligação. “O ataque precisa que a vítima seja chamada e atenda”, afirmou Eten Zou, cofundador e presidente-executivo da NebuSec, em publicação no X (antigo Twitter). A startup identificou que o problema pode ser combinado com outras duas falhas de segurança para romper as barreiras de proteção do aplicativo e alcançar o sistema operacional Android. O contratempo reside no código responsável por processar os pacotes de dados trocados durante uma chamada telefônica. A falha original no código-fonte do Telegram pode ser verificada no GitHub oficial do projeto, em que o sistema lia campos incorretos na memória se a mensagem de rotação estivesse presente.Correção e medidas de proteçãoO Telegram lançou a versão 12.10.4 do aplicativo para corrigir o erro no sistema Android, alteração que consta no código atualizado do GitHub. O ajuste aplicado na biblioteca de chamadas do aplicativo segue o mesmo padrão adotado anteriormente nas versões para computadores e iPhone.Para verificar a versão instalada, o usuário deve olhar o número exibido na parte inferior da página de configurações do aplicativo. Caso a versão seja anterior a 12.10.4, a recomendação dos pesquisadores da NebuSec é realizar a atualização imediata pela loja oficial. Como alternativa de proteção temporária, alterar a configuração de privacidade de chamadas do Telegram para “Ninguém” impede que o ataque seja executado.Remember when scam callers only ask for your password? Good times.Now picking up a wrong call can get you hacked.Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4.Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse.Fixed in Telegram Android… pic.twitter.com/EOmPf14OIS— NebuSec (@nebusecurity) October 29, 2026 Além desse problema, pesquisadores independentes e iniciativas de segurança acompanham outras frentes de fragilidade no aplicativo. A Zero Day Initiative publicou um alerta detalhado sobre falhas em ferramentas de exibição de figurinhas, conforme a advisory da ZDI, enquanto estudos complementares sobre os riscos do sistema foram apresentados por especialistas, detalhados no perfil de palestrantes do OffensiveCon.Posicionamento e resposta do TelegramA empresa NebuSec afirmou que notificou os desenvolvedores do aplicativo assim que concluiu a análise técnica, mas a equipe do Telegram inicialmente questionou a possibilidade de transformar a falha em um mecanismo de execução remota de código. Por causa dessa divergência de entendimento, nenhum identificador CVE foi atribuído ao caso e nenhuma recompensa por bug foi paga aos pesquisadores.“O Telegram reconheceu o aviso, mas não acreditou que a falha pudesse ser transformada em execução remota de código”, lamentou Eten Zou, ao detalhar a recusa da plataforma em classificar o problema com um identificador oficial de vulnerabilidade na época do reporte.Até o momento da divulgação pública, os especialistas não registraram incidentes reais de exploração dessa falha em ataques contra usuários comuns. A startup utilizou ferramentas de análise automatizada baseadas em inteligência artificial (IA) para rastrear o código e identificar o ponto exato da vulnerabilidade na biblioteca de chamadas compartilhada pelo aplicativo.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.