Ein Anruf, den du annimmst, und dein Handy gehört einem Fremden. Genau das behauptet die Firma NebuSec für Telegram auf Android. The Hacker News berichtet am 29. Oktober über die Lücke. Der Angreifer braucht laut Bericht nur ein normales Telegram-Konto.
Die gute Nachricht: Der Fehler ist in Version 12.10.4 behoben. Das ist Pflicht-Lektüre für alle, die Telegram auf Android nutzen.
WIE FUNKTIONIERT DER ANGRIFF?
Es ist keine einzelne Lücke, sondern eine Kette. NebuSec verbindet den Telegram-Fehler mit zwei weiteren. Der Ablauf laut Bericht:
- Der Angreifer ruft das Opfer an. Das Opfer muss den Anruf annehmen.
- Ein Speicherfehler beim Verarbeiten von „MediaState“-Nachrichten bricht aus der App in das Android-System aus.
- Ein Info-Leak liefert Informationen über den Speicher. Der Artikel benennt ihn nicht.
- Ein Root-Exploit für Android übernimmt das Gerät, inklusive Nachrichten, Mikrofon und Kamera. Auch dieser Fehler wird nicht benannt.
MediaState-Nachrichten melden, ob Mikrofon und Kamera an sind und wie das Video gedreht ist. Der Code behandelte fehlende Felder falsch: War ein Drehwert vorhanden, las er auch das Video-Statusfeld, selbst wenn die Nachricht keines enthielt. Die Redaktion von THN fand in der veröffentlichten Quelle von Version 12.10.3 einen passenden Fehler in der Datei Signaling.cpp. In 12.10.4 liest der Code den Drehwert aus dem richtigen Feld.
WER IST BETROFFEN?
- Android: Alle Versionen von 8.6.2 bis 12.10.3, veröffentlicht zwischen März 2022 und September 2026. Der betroffene Anruf-Code wurde mit 8.6.2 aktiviert.
- Gefixt: Version 12.10.4, Ende September 2026 erschienen.
- iOS und Desktop: Die gemeinsame Anruf-Bibliothek tgcalls bekam am 21. April 2026 die gleiche Korrektur („Fix camera rotation“). iOS enthält sie seit Version 12.7 (Mai), Desktop seit 7.0.1 (Juli). Ob der ältere Code dort ausnutzbar war, ist nicht gezeigt.
- Gruppenanrufe: NebuSec hat den Angriff in privaten Anrufen auf ARM64-Handys bestätigt. Zu Gruppenanrufen liegen keine Belege vor.
WIE GESICHERT IST DAS?
Mit Vorsicht lesen. NebuSec ist ein von Y Combinator gefördertes Start-up. Die Firma sagt, ihr Produkt „Code Security“, das auf OpenAIs GPT-5.4 läuft, habe den Fehler gefunden. Gemeldet hat sie ihn am 26. September, nachdem 12.10.4 schon erschienen war.
Telegram bestätigte den Eingang, hielt eine Code-Ausführung aber für nicht möglich. Es gibt kein CVE und keine Prämie. Ein Video zeigt zwei Handys: Etwa 30 Sekunden nach dem Annehmen springt das Opfergerät auf den Startbildschirm, die Symbole fallen herunter und „HACKED BY NEBUSEC“ erscheint. Das Video nennt weder Telegram- noch Android-Version. Eine technische Beschreibung gibt es bisher nicht, die Kette stützt sich auf Video und Aussagen der Firma.
Echte Angriffe hat NebuSec nicht beobachtet. Die Firma vermutet, dass niemand anderes die Lücke zu Code-Ausführung ausgebaut hat.
DER ZWEITE FALL: RLOTTIE
Parallel läuft ein separater Fall. Die Zero Day Initiative veröffentlichte am 15. Oktober den Hinweis ZDI-26-757 zu einem ungepatchten Fehler in der Animationsbibliothek rlottie (CVE-2026-111105, CVSS 7,0). Er kann Code ausführen, wenn jemand eine manipulierte Datei oder Seite öffnet. Telegram sagte der ZDI im März, serverseitige Prüfungen entschärften das Problem. Der Forscher Saifeldeen Aziz will beim OffensiveCon in Tokio zeigen, dass sich diese Prüfungen umgehen lassen, und berichtet von einer Kette für iOS.
Android nutzt statt rlottie inzwischen das Rust-basierte tlottie (zwischen 12.8.1 und 12.10.0), der Desktop-Client seit September. iOS hat tlottie seit Version 13.0 im Code, enthält aber weiterhin rlottie.
SO SCHÜTZT DU DICH
- Aktualisieren: Telegram auf Android auf 12.10.4 oder neuer bringen. Die Version steht ganz unten in den Einstellungen.
- Anrufe sperren: Unter den Datenschutz-Einstellungen Anrufe auf „Niemand“ stellen. Das blockiert den Angriff laut Bericht.
- Nicht annehmen: Unbekannte Anrufe ablehnen. Auch das verhindert die Kette.
- Android-Patchstand: Halte Android aktuell. Die Kette braucht laut Bericht einen Root-Exploit für das System.
FAZIT: Updaten, dann ruhig bleiben
Ob die komplette Kette so funktioniert, ist öffentlich nicht überprüfbar. Der Fix liegt aber seit Wochen bereit, und das Risiko lässt sich mit zwei Handgriffen senken. Prüf heute deine Telegram-Version. Wer die automatische App-Aktualisierung an hat, ist vermutlich schon sicher.