LONDON (IT BOLTWISE) – Eine Sicherheitslücke in Telegram für Android erlaubt es Angreifern, nach dem Annehmen eines eingehenden Sprach- oder Videoanrufs Code auszuführen. Laut NebuSec genügt dafür ein reguläres Telegram-Konto; der Fehler wurde in Version 12.10.4 behoben. Betroffen sind Android-Fassungen zwischen 8.6.2 und 12.10.3, während derzeit keine Hinweise auf iOS- oder Desktop-Impact vorliegen. Zusätzlich taucht im Kontext von Telegram-Stickern ein separater Schwachstellenhinweis zu rlottie auf.
Telegram hat für Android eine Lücke geschlossen, die nicht erst nach dem Klick auf einen Link oder das Öffnen einer Datei greift, sondern im Moment, in dem ein Nutzer einen eingehenden Call über die App annimmt. Die Sicherheitsfirma NebuSec beschreibt den Mechanismus so, dass ein Angreifer während eines Anrufs über die Routine-Initialisierung der Call-Kommunikation eine Form von Speicherzugriff auslösen kann, die in der Folge Code-Ausführung ermöglichen soll. Entscheidend ist dabei die Zielplattform: NebuSec ordnet die Problematik ausdrücklich dem Android-Client zu und prüft sie dabei auf ARM64-basierten Geräten, während eine direkte Betroffenheit von iOS und Desktop nach aktuellem Stand nicht belegt ist.
Technisch verortet NebuSec den Fehler im Umgang mit sogenannten „MediaState“-Nachrichten. Diese kurzen Statusmeldungen werden zwischen zwei Telegram-Apps während eines Gesprächs ausgetauscht, um den Call vorzubereiten und dessen Zustand zu melden. Dazu gehören unter anderem Informationen, ob das Mikrofon stummgeschaltet ist, ob die Kamera aktiv ist und wie die Videodaten gedreht sind. Die Schwachstelle liegt laut Analyse im Code, der diese MediaState-Nachrichten ausliest: Bestimmte Felder werden nicht korrekt behandelt, wenn sie fehlen, und dabei wird auf Speicher zugegriffen, der in dieser Form nicht hätte referenziert werden sollen.
Für die praktische Risikoeinschätzung ist vor allem die Versionierung relevant. NebuSec nennt als betroffene Android-Releases den Bereich von 8.6.2 bis 12.10.3; Telegram hat den Fix in Version 12.10.4 nachgereicht, die Ende September veröffentlicht wurde. In der Beschreibung wird außerdem deutlich, warum der Zeitraum so groß ist: Der „Calling“-Code, der die MediaState-Nachrichten nutzt, sei bereits ab Version 8.6.2 aktiv gewesen. Auf der Ebene der gemeinsamen Infrastruktur fällt zudem ein Blick auf die Architektur: Android-, iOS- und Desktop-Apps nutzen laut Quelle eine gemeinsame Bibliothek namens tgcalls für die Call-Funktion, und in dieser Bibliothek gab es am 21. April 2026 einen Fix mit dem Label „Fix camera rotation“. Diese Korrektur taucht bei den verschiedenen Clients in unterschiedlichen Versionen auf, wodurch sich die Abdeckung des Fehlers über die Plattformgrenzen hinweg historisch erklärt.
Was sich wie eine reine Inkompatibilität zwischen Videozuständen anhört, ist in den Details jedoch ein typisches Muster für Speicherfehler. NebuSec beschreibt, dass in einer fehlerhaften Variante ein Rotation-Wert in einem bestimmten Feld ausgewertet wird, anschließend aber ein anderes Feld ausgelesen wird („video state“), obwohl dieses im eingehenden MediaState möglicherweise gar nicht existiert. In Version 12.10.4 werde dagegen die Rotation aus dem richtigen Feld gelesen. Ob und wie sich diese Logik in den jeweiligen Plattformvarianten bis zur Code-Ausführung ausnutzen lässt, hängt laut NebuSec auch an der konkreten Eingabekette; ein formales CVE-Tracking fehlte zum Zeitpunkt der Offenlegung am 29. Oktober. Als Zusatzbeleg wird ein Video gezeigt, das auf zwei Smartphones hindeutet (ein Angreifergerät und ein Opfergerät), jedoch ohne sichtbaren Hinweis auf die exakten Telegram- oder Android-Versionen des Opfers.
Neben dem Android-Call-Vektor findet sich im selben Themenumfeld ein weiterer Hinweis zu Telegram-Clients und Sticker-Rendering-Komponenten. Die Zero Day Initiative (ZDI) veröffentlichte am 15. Oktober eine Advisory zu einer Schwachstelle in rlottie, einer Bibliothek, die Telegram offenbar zum Zeichnen animierter Sticker nutzt. Der Fehler wird als CVE-2026-111105 geführt und hat einen CVSS-Score von 7,0; ZDI ordnet ihn so ein, dass ein Angreifer Code ausführen kann, wenn ein Nutzer eine manipulierte Datei oder Seite öffnet. Telegram habe ZDI im März mitgeteilt, dass serverseitige Checks den Effekt abmildern, und im April die Erweiterung hin zu einer vollständigen Kette für Remote Code Execution angefragt. Der aufgeführte Kontext ist damit auch ein Lehrbeispiel dafür, wie schwierig es ist, allein aus „teilweisen“ Schutzmaßnahmen die tatsächliche Exploitierbarkeit zu beurteilen.
Wie schnell sich solche Lücken über Renderring und Verarbeitungsketten potenziell zu Exploit-Mechanismen verdichten können, zeigt eine separate Forschungsvorbereitung: In der abstract-Beschreibung zu einem OffensiveCon-Talk in Tokio nennt der Referent Saifeldeen Aziz, dass Checks umgangen werden könnten. Seine Analyse verwendet dabei AI-guided Fuzzing, also gesteuertes Fuzzing, bei dem große Mengen kaputter oder unerwarteter Eingaben genutzt werden, um Memory-Corruption-Bugs zu finden. In der Darstellung werden diese Fehler entlang der Sticker-Auslieferung und -validierung verkettet, sodass am Ende Code auf Telegram für iOS ausgeführt werden kann. Interessant ist außerdem der technische Wandel: Telegram habe Android-Rlottie-Funktionen zwischen Version 12.8.1 (Juni) und 12.10.0 (August) durch tlottie ersetzt, und auf Desktop sei der Wechsel im September erfolgt; auf iOS wurde tlottie in Version 13.0 ergänzt, während rlottie weiterhin enthalten blieb.
Für Unternehmen und Security-Teams ergibt sich daraus vor allem eine klare Priorisierung: Erstens sollten Android-Nutzer die App schnellstmöglich auf 12.10.4 oder neuer aktualisieren, weil genau diese Version den beschriebenen Fehler korrigiert. Zweitens lohnt es sich, Telemetriedaten aus dem Umfeld „Call-Events“ genauer zu betrachten, obwohl die Quelle keine konkreten Real-Angriffszahlen liefert; die Frage, ob der Fehler bereits aktiv missbraucht wurde, bleibt laut Anfrage offen. Drittens zeigt die gleichzeitige Erwähnung von rlottie/tlottie, dass Telegrams Angriffsfläche nicht nur aus Messaging- und Netzwerkpfaden besteht, sondern auch aus dem Zusammenspiel von Medien- und Rendering-Bausteinen. Wer bei der KI-unterstützten Sicherheitsforschung auf Methoden wie Fuzzing setzt, bekommt damit zugleich ein konkretes Szenario, wie aus Eingabevalidierungsfehlern und Feld-Handling schnell sicherheitsrelevante Auswirkungen werden können.
Der nächste harte Schritt liegt für den Verteidigungsblick weniger in Schlagzeilen als in der Detailprüfung: Welche konkreten Call-Workflows, welche Gerätefamilien und welche Android-Builds in der Praxis durch die Kombination aus MediaState-Parsing und tgcalls-Implementierung eine Angriffsfläche bieten, ist damit noch nicht abschließend beantwortet. Auch NebuSecs Hinweis auf einen vorherigen Exploit-Chain-Ansatz (beginnend bei einem Firefox-basierten Problem bis hin zum Kernel eines ARM64-Android-17-Systems) unterstreicht, dass solche Ketten oft mehrere Komponenten überbrücken müssen. Unterm Strich bleibt aber die nüchterne Handlungslogik: Patchen, Variationen in gemeinsamen Bibliotheken im Blick behalten und bei Rendering-Engines sowie Sticker-Pipelines die Updates eng mit Sicherheitsprüfungen verzahnen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Telegram Android: Call-Funktion lässt Angreifer Code nach Anrufstart ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Telegram Android: Call-Funktion lässt Angreifer Code nach Anrufstart ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Telegram Android: Call-Funktion lässt Angreifer Code nach Anrufstart ausführen« bei Google Deutschland suchen, bei Bing oder Google News!