В Telegram обнаружили цепочку уязвимостей, которая, по утверждению исследователя, позволяет выполнить посторонний код на iPhone через анимированный стикер. Получателю даже не требуется нажимать на сообщение. Атака обходит серверные проверки, которыми разработчики мессенджера считали пользователей защищёнными.
Исследователь информационной безопасности Саифельдин Азиз представил результаты 28 октября на конференции OffensiveCon в Токио. Согласно описанию исследования, за год работы удалось обнаружить несколько уязвимостей в обработке анимированных стикеров, найти способы обхода защитных механизмов Telegram и объединить ошибки в цепочку, позволяющую выполнить код в приложении для iOS.
Проблема связана с библиотекой rlottie, которая преобразует описание анимации в изображение на экране. Анимированные стикеры Telegram используют формат TGS, основанный на Lottie. Вместо привычной картинки файл содержит набор команд для построения графических фигур и их движения. Приложение обрабатывает такие файлы автоматически, поэтому специально подготовленная анимация может задействовать уязвимый код без дополнительных действий пользователя.
Для поиска ошибок Азиз применил автоматизированное тестирование с участием языковых моделей. Программа создавала множество необычных и повреждённых вариантов анимации, передавала их библиотеке rlottie и анализировала возникающие сбои. Исследователь обнаружил несколько ошибок работы с памятью, затрагивающих клиенты Telegram для iOS, Android и настольных компьютеров. Подобные ошибки потенциально позволяют не только нарушить работу приложения, но и вмешаться в выполнение программного кода.
Главным препятствием для атаки оставалась серверная защита Telegram. Мессенджер проверяет загружаемые стикеры и должен отсеивать опасные файлы до передачи пользователям. Азиз утверждает, что обнаружил отдельные логические ошибки в механизмах проверки и доставки стикеров. Объединив найденные недостатки, исследователь смог обойти ограничения, которые должны были препятствовать попаданию вредоносной анимации в уязвимый обработчик.
Наиболее серьёзный результат получен на iOS. По словам Азиза, построенная цепочка позволила добиться выполнения кода через обработку стикера без нажатий со стороны получателя. Подобные атаки называют zero-click, поскольку жертве не требуется открывать вложение или переходить по ссылке. Однако опубликованное описание доклада не раскрывает всех ограничений эксплуатации и не доказывает возможность полного захвата iPhone. Успешное выполнение кода в приложении ещё не означает получение контроля над всей операционной системой.
Исследование продолжает историю другой уязвимости Telegram, которую специалист Zero Day Initiative Майкл Деплант обнаружил весной 2026 года. Компания получила уведомление 26 марта, а 15 октября специалисты опубликовали CVE-2026-111105 с оценкой опасности 7,0 балла из 10. Ошибка возникает при обработке числовых значений в rlottie и может привести к записи данных за пределами выделенной области памяти, создавая условия для выполнения произвольного кода.
Первоначально опасность находки оценивали в 9,8 балла, но позднее снизили до 7,0. В опубликованном описании CVE-2026-111105 указано, что для эксплуатации конкретной ошибки требуется действие пользователя, например открытие вредоносного файла или страницы. Новая работа Азиза описывает более сложный сценарий, в котором дополнительные уязвимости позволяют обойти ограничения и добиться атаки без нажатий. Поэтому характеристики отдельной CVE нельзя автоматически переносить на всю исследованную цепочку.
Позиция Telegram весной была принципиально иной. В марте пресс-служба мессенджера отрицала возможность подобного взлома и утверждала, что серверная проверка стикеров исключает эксплуатацию уязвимого кода. В переписке с Zero Day Initiative компания также ссылалась на серверные ограничения как на достаточную защиту. Однако исследование Азиза ставит под сомнение именно такой подход, поскольку безопасность клиента фактически зависит от невозможности обойти проверку на стороне сервера.
Разработчики Telegram уже начали переходить с rlottie на новую библиотеку tlottie, написанную на Rust. При разработке нового движка особое внимание уделили безопасной обработке недоверенных файлов и ограничениям на потребление ресурсов. В Telegram Desktop библиотека уже используется в ряде сборок, а в коде клиента для iOS предусмотрена возможность переключения между старым и новым обработчиками. Однако единый перечень версий, полностью защищённых от всей цепочки уязвимостей Азиза, пока не опубликован.
Проблемы со стикерами возникали и раньше. В сентябре 2026 года по чатам распространялся стикер размером 269 байт, способный вызвать аварийное завершение Telegram. Вредоносный файл содержал аномальные параметры графической фигуры, из-за которых программа пыталась выполнить чрезмерный объём вычислений. Разработчики выпустили исправления для Telegram Desktop, включая версии 7.2.7 и 7.2.8. В отличие от нынешнего исследования, сентябрьский случай был связан с отказом приложения в обслуживании, а не с подтверждённым выполнением постороннего кода.
На момент публикации нет подтверждённых сведений о применении обнаруженной цепочки уязвимостей в реальных атаках. Также не установлено, какие актуальные версии Telegram сохраняют все необходимые для эксплуатации ошибки. Пользователям рекомендуется обновить мессенджер на телефонах и компьютерах, поскольку разработчики продолжают менять обработчик анимации и исправлять связанные с ним проблемы. При этом обычная осторожность с подозрительными сообщениями не гарантирует защиты от сценария zero-click, если уязвимый клиент автоматически обрабатывает полученный файл.
