Взлом Telegram одним стикером
В Telegram нашли цепочку уязвимостей, из-за которой анимированный стикер может запустить посторонний код на iPhone — причём получателю не нужно ни нажимать, ни открывать сообщение. Всё строится вокруг формата TGS и библиотеки rlottie: стикер содержит не картинку, а команды анимации, и клиент обрабатывает их автоматически. На конференции OffensiveCon в Токио 28 октября представили результаты работы, где с помощью автоматизированного тестирования и языковых моделей генерировали повреждённые анимации и искали сбои в обработчике. Так удалось найти ошибки работы с памятью в клиентах для iOS, Android и настольных систем — потенциально они позволяют не только уронить приложение, но и вмешаться в исполнение кода.
Главной преградой оставалась серверная проверка стикеров, но в исследовании утверждается, что логические ошибки в проверке и доставке позволили обойти фильтры и довести опасный файл до уязвимого обработчика. Самый серьёзный сценарий — zero-click на iOS: код выполняется без действий получателя. При этом опубликованное описание не доказывает полный захват iPhone — речь именно о выполнении кода внутри приложения. Работа продолжает историю CVE-2026-111105 с оценкой 7,0 балла: та ошибка требовала действия пользователя, поэтому её нельзя автоматически переносить на всю цепочку. Telegram ранее отрицал практическую эксплуатацию, ссылаясь на серверную защиту, но теперь переходит на библиотеку tlottie на Rust; в Telegram Desktop она уже используется в части сборок, в iOS есть переключатель между движками, однако единого перечня полностью защищённых версий пока нет.
Отдельный эпизод — сентябрьский стикер размером 269 байт, который вызывал аварийное завершение Telegram. Это была атака на доступность, а не подтверждённое выполнение кода; исправления вышли в версиях 7.2.7 и 7.2.8. Подтверждений реального применения новой цепочки пока нет, как и ясности, какие актуальные версии сохраняют все нужные ошибки.
Разработчики продолжают менять обработчик анимации, поэтому обновление клиентов остаётся единственной практической мерой для пользователя. При zero-click привычная осторожность в переписке не помогает: если уязвимое приложение само обрабатывает вложение, защита зависит от версии клиента и серверных барьеров. На момент публикации подтверждённых случаев реального применения цепочки нет.