Специалист по кибербезопасности Сайфелдин Азиз представил доклад на конференции OffensiveCon о возможности взлома Telegram без участия пользователя. Атака строится на цепочке ошибок в библиотеке отрисовки анимаций и логических недочётах серверной проверки файлов.
Исследователь использовал фаззинг под управлением ИИ для поиска ошибок повреждения памяти в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров.
С помощью найденных логических ошибок в доставке и проверке стикеров Азиз обошёл серверную защиту мессенджера.
Объединив уязвимости в библиотеке и ошибки проверки, исследователь добился выполнения кода на устройстве в Telegram для iOS.
Telegram опубликовал новую библиотеку tlottie, переписанную на Rust, которая исключает целый класс ошибок работы с памятью.
Логические ошибки в доставке и проверке стикеров не зависят от библиотеки отрисовки, и неизвестно, исправлены ли они.
В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram, которую пресс-служба мессенджера назвала невозможной из-за серверной проверки.
Расхождения в источниках
Telegram утверждает, что эксплойт невозможен, так как все стикеры проверяются на серверах, в то время как ZDI и исследователь указывают на наличие неисправленной уязвимости.
Telegram сначала оценил уязвимость в 9,8 баллов CVSS, а затем снизил оценку до 7,0 с учётом серверных мер защиты.