Исследователи из стартапа NebuSec сообщили об обнаружении опасной уязвимости в клиенте Telegram для Android. Как ни странно, находка была сделана с помощью модели GPT-5.4, которую разработчики иронично называют «динозавром, превращенным в кибер-тяжеловеса». Ошибка затрагивает версии приложения с 8.6.2 по 12.10.3 включительно и уже исправлена в сборке 12.10.4.
Суть проблемы кроется в обработке служебных сообщений, которые передаются во время звонка. Эти пакеты содержат информацию о состоянии вызова: включен ли микрофон, активна ли камера, как повернуто видео. При неполном или некорректном служебном сообщении код Telegram мог неправильно его интерпретировать, что открывало злоумышленнику доступ к несанкционированным ячейкам памяти. В результате атакующий получал возможность перехватить контроль над устройством. Самое тревожное — жертве достаточно было просто поднять трубку, никаких дополнительных действий не требовалось.
По словам NebuSec, уязвимость представляет серьезную угрозу, поскольку не требует от пользователя никаких взаимодействий, кроме ответа на вызов. Злоумышленник может использовать специально сформированный звонок, чтобы вызвать переполнение буфера или ошибку обработки, что в итоге приведет к выполнению произвольного кода. В худшем случае атакующий мог получить полный доступ к данным на телефоне, включая переписки, контакты и файлы.
Разработчики Telegram уже выпустили патч. Всем пользователям Android-версии мессенджера рекомендуется срочно обновиться до версии 12.10.4 или более поздней. Если вы все еще используете версию из диапазона 8.6.2–12.10.3, сделайте это немедленно. Кроме того, специалисты по безопасности советуют не отвечать на звонки с незнакомых номеров, особенно если вы не ожидаете вызова. Это простое правило поможет снизить риск эксплуатации подобных уязвимостей.
История показывает, что даже популярные мессенджеры не застрахованы от ошибок. Важно оперативно устанавливать обновления и следить за новостями о безопасности. А тот факт, что уязвимость нашла модель GPT-5.4, лишь подчеркивает, насколько серьезными стали инструменты автоматического анализа кода — теперь «динозавры» действительно превращаются в кибер-тяжеловесов.
