Telegram Android'de Sesli Arama Açığı: Saldırgan Kod Çalıştırabiliyordu

Güvenlik girişimi NebuSec, Telegram'ın Android uygulamasında kritik bir güvenlik açığı tespit etti. Açık, bir saldırganın kurbanı Telegram üzerinden arayıp kurban aramayı yanıtladığı anda hedef telefonda kod çalıştırmasına olanak tanıyor. Saldırgan için gerekli olan tek şey sıradan bir Telegram hesabı.
Telegram, açığı Eylül ayının sonlarında yayımladığı 12.10.4 sürümüyle kapattı. NebuSec ise açıklamayı 29 Ekim'de kamuoyuyla paylaştı. Şirketin kurucu ortağı ve genel müdürü The Hacker News'e gönderdiği e-postada açığın 8.6.2'den 12.10.3'e kadar olan tüm sürümleri etkilediğini belirtti. Bu sürümler Mart 2022 ile Eylül 2026 arasında yayımlandı.

Açık Nasıl Çalışıyor?​

Telegram araması sırasında iki uygulama, aramayı kurmak ve durumunu aktarmak için birbirine kısa mesajlar gönderiyor. Bu mesaj türlerinden biri olan MediaState; mikrofonun kapalı olup olmadığını, kameranın açık olup olmadığını ve videonun nasıl döndürüldüğünü bildiriyor. NebuSec'e göre açık, MediaState mesajlarını okuyan kodda bulunuyordu: söz konusu kod, eksik alanları doğru biçimde işlemiyor ve erişmemesi gereken bellek bölgelerine ulaşıyordu.
The Hacker News'in 12.10.3 sürümünün yayımlanmış kaynak kodunu incelemesi de bu açıklamayı doğruladı. MediaState mesajı bir döndürme değeri içerdiğinde kod bu değeri kontrol ediyor; ardından mesajda böyle bir alan bulunmasa bile video durumu alanını okumaya çalışıyordu. 12.10.4 sürümünde ise döndürme değeri doğru alandan okunuyor. Bu mesajı kullanan arama kodunun aktif hale geldiği ilk sürüm, NebuSec'in adını verdiği 8.6.2'dir.

Düzeltme Süreci ve Etkilenen Platformlar​

Telegram'ın Android, iOS ve masaüstü uygulamaları, aramalar için tgcalls adlı ortak bir kütüphane kullanıyor. "Kamera döndürmeyi düzelt" etiketiyle anılan değişiklik, tgcalls'ta 21 Nisan 2026'da yapıldı. iOS kaynak koduna bu düzeltme Mayıs ayında yayımlanan 12.7 sürümünden, masaüstü uygulamasının koduna ise Temmuz ayında yayımlanan 7.0.1 sürümünden itibaren yansıdı. Telegram Android ise aynı düzeltmeyi ancak Eylül ayındaki 12.10.4 sürümüyle aldı.
NebuSec, açığı ARM64 tabanlı telefonlarda özel görüşmeler aracılığıyla doğruladığını bildirdi. Şirketin şimdiye kadar elde ettiği bulgulara göre açık, Telegram'ın iOS ve masaüstü uygulamalarını ya da grup aramalarını doğrudan etkilemiyor. Öte yandan bu uygulamalardaki eski kodun istismar edilip edilemeyeceği henüz ortaya konmadı. Açığın, 29 Ekim itibarıyla CVE tanımlayıcısı bulunmuyordu. The Hacker News, NebuSec ve Telegram'a açığın gerçek saldırılarda kullanılıp kullanılmadığını ve saldırganın kodunun telefonda hangi alanlara erişebildiğini sordu; ancak yanıt bekleniyor.

NebuSec'in Yayımladığı Video​

NebuSec, açığı gösteren bir video yayımladı. Videoda biri saldırgan, diğeri kurban olarak işaretlenmiş iki telefon yer alıyor. Kurban bir Telegram aramasını yanıtlıyor; aramanın yaklaşık yarım dakika sonrasında kurbanın telefonu ana ekrana geçiyor, uygulama simgeleri ekranda aşağı kayıyor ve "HACKED BY NEBUSEC" logosu beliriyor. Videoda kurbanın telefonunun hangi Telegram veya Android sürümünü çalıştırdığı gösterilmiyor. 29 Ekim itibarıyla NebuSec'in web sitesinde açığa ilişkin teknik bir rapor yer almıyordu; bu nedenle açıktan kod çalıştırma aşamasına geçiş süreci yalnızca videoya ve şirketin açıklamalarına dayanıyor.
Y Combinator destekli bir girişim olan NebuSec, açığı OpenAI'ın GPT-5.4 modeli üzerinde çalışan Kod Güvenliği ürününün bulduğunu açıkladı. Şirket Temmuz ayında, bir Firefox açığıyla başlayıp Android 17 çalıştıran ARM64 tabanlı bir cihazın çekirdeğine ulaşan bir Android istismar zincirini de kamuoyuyla paylaşmıştı.

Telegram Uygulamalarını Etkileyen Ayrı Bir Açık: rlottie​

Zero Day Initiative (ZDI), 15 Ekim'de Telegram uygulamalarının animasyonlu çıkartmaları çizmek için kullandığı rlottie kütüphanesindeki yamasız bir açığa ilişkin bir tavsiye belgesi yayımladı. CVE-2026-111105 koduyla takip edilen ve CVSS puanı 7,0 olan bu açık, bir kullanıcının kötü amaçlı bir dosya ya da sayfa açması durumunda saldırganın kod çalıştırmasına olanak tanıyabiliyor. Telegram, ZDI'ya Mart ayında sunucularındaki kontrollerin açığı hafiflettiğini bildirmiş; Nisan'da ise ZDI'dan tam bir uzaktan kod çalıştırma zinciri sunmasını istemişti. Araştırmacı Saifeldeen Aziz, Tokyo'daki OffensiveCon konuşmasının özetinde bu kontrollerin atlatılabildiğini belirtiyor.
Araştırma, rlottie'deki bellek bozulması hatalarını bulmak için yapay zeka destekli bulanıklık testinden (fuzzing) yararlandı. Telegram'ın iOS, Android ve masaüstü uygulamalarındaki bu hatalar daha sonra zincirlenerek Telegram iOS uygulamasında kod çalıştırıldı. Android uygulaması ise Haziran'daki 12.8.1 ile Ağustos'taki 12.10.0 sürümleri arasında rlottie'yi Rust ile yazılmış tlottie kütüphanesiyle değiştirdi. Masaüstü uygulamasının kodu aynı geçişi Eylül'de, iOS kodu ise Ekim'deki 13.0 sürümünde gerçekleştirdi; ancak iOS kodu rlottie'yi de içermeye devam ediyor.

Ne Yapmalısınız?​

Telegram for Android kullanan herkesin uygulamanın 12.10.4 veya daha yeni bir sürümde olduğundan emin olması gerekiyor. Sürüm numarası, uygulamanın Ayarlar sayfasının alt kısmında görüntüleniyor.

Sıkça Sorulan Sorular​

Telegram Android güvenlik açığı hangi sürümleri etkiliyor?​

NebuSec'in açıklamasına göre açık, Telegram for Android'in 8.6.2'den 12.10.3'e kadar olan tüm sürümlerini etkiliyor. Bu sürümler Mart 2022 ile Eylül 2026 arasında yayımlandı. Açık, Eylül ayının sonlarında çıkan 12.10.4 sürümüyle kapatıldı.

Saldırganın bu açığı kullanabilmesi için ne gerekiyor?​

NebuSec'e göre saldırganın ihtiyacı olan tek şey sıradan bir Telegram hesabı. Saldırgan, kurbanı Telegram üzerinden arayıp kurban aramayı yanıtladığı anda hedef telefonda kod çalıştırabiliyor.

Açık yalnızca Android'i mi etkiliyor, iOS ve masaüstü uygulamaları da risk altında mı?​

NebuSec, şimdiye kadar elde ettiği bulgulara göre açığın Telegram'ın iOS ve masaüstü uygulamalarını ya da grup aramalarını doğrudan etkilemediğini bildiriyor. Ancak bu platformlardaki eski kodun istismar edilip edilemeyeceği henüz kanıtlanmadı. Düzeltme, iOS ve masaüstü uygulamalarına Android'den daha önce yansımıştı.

Açık gerçek saldırılarda kullanıldı mı?​

The Hacker News, NebuSec ve Telegram'a açığın gerçek saldırılarda kullanılıp kullanılmadığını sordu; ancak 29 Ekim itibarıyla bu soruya yanıt alınamamıştı. Açığın aktif olarak istismar edildiğine dair kamuya açık bir bilgi bulunmuyor.

rlottie kütüphanesindeki ayrı açık Telegram kullanıcılarını nasıl etkiliyor?​

Zero Day Initiative'in 15 Ekim'de yayımladığı tavsiye belgesine göre CVE-2026-111105 koduyla takip edilen rlottie açığı, bir kullanıcının kötü amaçlı bir dosya ya da sayfa açması durumunda saldırganın kod çalıştırmasına olanak tanıyabiliyor. Telegram Android uygulaması rlottie'yi Haziran-Ağustos 2026 arasında Rust ile yazılmış tlottie kütüphanesiyle değiştirdi. iOS uygulaması ise Ekim'deki 13.0 sürümüyle tlottie'yi ekledi ancak rlottie'yi de içermeye devam ediyor.