Een Telegram Android fout maakt duidelijk hoe complex communicatie-apps kunnen worden: onderzoekers melden dat een aanvaller via een voice call code kon laten uitvoeren op het toestel van het slachtoffer, zodra die persoon de oproep beantwoordde. Telegram heeft de kwetsbaarheid inmiddels verholpen, maar gebruikers moeten wel de juiste versie draaien.
De melding komt van beveiligingsstartup NebuSec. Volgens hun analyse volstond het gebruik van een gewone Telegram-account: de aanvaller had dus geen speciale toegang nodig buiten het platform zelf.
Wat is er precies mis bij Telegram Android?
Tijdens een Telegram-gesprek wisselen de apps onderling korte berichten uit om de call op te zetten en de status ervan te rapporteren. Eén van die berichttypen, MediaState, geeft informatie door zoals of de microfoon is gemute, of de camera aanstaat en hoe video is geroteerd.
De kwetsbaarheid zat in de code die die MediaState-berichten uitleest. Daarbij werd een situatie niet correct afgehandeld waarbij velden ontbraken. Daardoor werd er toegang verkregen tot geheugen dat niet bedoeld was voor de ontvangen berichtinhoud.
Trigger: antwoordde voice call
De aanvalsketen vereist dat het slachtoffer de voice call beantwoordt. Zodra dat gebeurt, kan de fout in de verwerking van het bericht worden misbruikt om uiteindelijk code te laten draaien op het Android-toestel.
Volgens NebuSec is de kwetsbaarheid aantoonbaar in meerdere versies: van 8.6.2 tot en met 12.10.3. Deze versies verschenen tussen maart 2022 en september 2026.
Welke versie moet je draaien?
Telegram heeft de Telegram Android fout gerepareerd in versie 12.10.4, die eind september is uitgebracht. NebuSec deed hun disclosure op 29 oktober.
Voor Android geldt daarom een eenvoudige actie: zorg dat je Telegram-update is afgerond en dat je versie onderaan bij Instellingen zichtbaar is als 12.10.4 of hoger.
Is het ook van toepassing op iOS of desktop?
NebuSec geeft aan dat er vooralsnog geen aanwijzingen zijn dat de fout direct geldt voor Telegram op iOS of voor de desktop-app. Ook bij group calls zou de directe impact niet zijn aangetoond.
Wel is het belangrijk om te beseffen dat Telegram voor gesprekken een gedeelde bibliotheek gebruikt (tgcalls) voor meerdere platforms. In de broncode wordt bovendien een fix voor camera-rotatie genoemd, die in verschillende app-versies is doorgevoerd.
Hoe werkte de fix in de code?
Bij versies vóór 12.10.4 las de Android-app een rotatiewaarde uit een veld en controleerde vervolgens de waarde. In de kwetsbare situatie werd daarna echter een ander veld gelezen, terwijl dat veld niet in het ontvangen bericht aanwezig kon zijn.
De correctie in 12.10.4 zorgt ervoor dat de code de rotatiewaarde uit het juiste veld haalt. Op een hoger niveau betekent dit dat het verkeerde geheugenpad wordt voorkomen wanneer velden niet (volledig) worden aangeleverd.
Wat zien we terug in de praktijkmelding?
NebuSec presenteerde een video met twee telefoons: één gemarkeerd als aanvaller en één als slachtoffer. In de demo accepteert het slachtoffer de Telegram call. Na ongeveer een halve minuut lijkt de controle over het Android-toestel te zijn overgenomen: de home screen verschijnt, app-icoontjes vallen visueel weg en er verschijnt een logo met “HACKED BY NEBUSEC”.
In de video wordt echter niet duidelijk welke exacte Telegram- en Androidversie het slachtoffer gebruikte. Bovendien was er ten tijde van de publicatie geen uitgebreide technische beschrijving op de website van NebuSec zelf, waardoor de praktische stap van fout naar code-uitvoering niet tot op alle details in tekst is uitgelegd.
Extra context: andere Zero-Day-onderzoeken rond Telegram
De melding staat niet op zichzelf. Er is in dezelfde periode ook aandacht voor een andere kwetsbaarheid in bibliotheken die Telegram gebruikt om animatiestickers weer te geven.
De Zero Day Initiative (ZDI) publiceerde op 15 oktober een advisory over een niet-gepatchte fout in rlottie, gekoppeld aan animatiestickers. Die wordt gevolgd als CVE-2026-111105 met een CVSS-score van 7.0. ZDI stelt dat een aanvaller code kan laten uitvoeren wanneer een gebruiker een kwaadaardig bestand of pagina opent.
Telegram gaf ZDI in maart aan dat server-side checks de kwestie mitigeren, en vroeg later om een volledige remote code execution-keten. Onderzoekers betogen dat die controles te omzeilen zijn, onder meer met AI-guided fuzzing.
Wat betekent dit voor jouw organisatie?
Voor individuele gebruikers is het belangrijkste advies helder: update Telegram op Android naar 12.10.4 of later en voorkom dat je voice calls beantwoordt van onbekende accounts totdat updates zijn toegepast.
Voor organisaties is het verstandig om breder te kijken naar het beheer van mobiele apparaten en de algemene patchdiscipline. Denk aan het opnemen van meldingen van kwetsbaarheden in je security-briefing en het controleren of medewerkers hun mobiele apps tijdig bijwerken.
Werk daarnaast met standaarden voor toestelhygiëne: beperk wie accounts kan benaderen, let op ongebruikelijke communicatiepatronen en monitor op corporate endpoints waar dat kan.
Vergelijkbare aanpak: updatebeleid en ketenbreuk
De kernles is vergelijkbaar met andere incidenten: kwetsbaarheden ontstaan vaak in specifieke codepaden (bijvoorbeeld het verwerken van een berichttype), en aanvallers proberen vervolgens een keten te bouwen van “fout” naar “effect”. Daarom werkt een combinatie van maatregelen het best: patchen, bevestigen welke versie actief is en het verkleinen van de kans dat een trigger plaatsvindt.
Als je wilt lezen hoe onderzoek naar messaging- en app-ecosystemen ook kan terugkomen in supply chain of exploitketens, is dit artikel relevant: npm firewall blokkeren vóór installatie. Hoewel dat over een andere vector gaat, sluit de aanpak—controle op wat er wordt geladen en uitgevoerd—inhoudelijk aan.
Conclusie
De Telegram Android fout die NebuSec meldde, laat zien dat een voice call die je beantwoordt al het verschil kan maken tussen “normaal” en “gecompromitteerd”. Telegram heeft dit verholpen in versie 12.10.4.
Check daarom direct je Telegram-versie op Android en update naar 12.10.4 of later. Daarmee sluit je de bekende fout in het MediaState-leespad af en verklein je de kans op succesvolle code-uitvoering via voice calls.
Bron: https://thehackernews.com/2026/10/telegram-android-flaw-lets-attackers.html
