ZDI publica zero-day CVE-2026-111105 no Telegram sem correção no cliente
A Zero Day Initiative da Trend Micro publicou em 15 de outubro a CVE-2026-111105 (CVSS 7.0), falha na biblioteca rlottie do Telegram que permite executar código no processo do aplicativo por meio de dados de animação maliciosos. O aviso final da ZDI afirma que a exploração exige interação do usuário; o pesquisador Saifeldeen Aziz alega cadeia 0-click com execução de código no iOS, e a Telegram disse à ZDI que a validação de stickers no servidor mitiga a falha. Não há versões corrigidas nem ataques confirmados divulgados; mantenha o Telegram atualizado, desative o download automático de mídia e evite abrir arquivos animados, pacotes de stickers e links não confiáveis.
O que aconteceu
A Zero Day Initiative da Trend Micro divulgou a CVE-2026-111105 (CVSS 7.0), falha na biblioteca de stickers animados rlottie do Telegram que permite executar código no processo do aplicativo. O pesquisador Saifeldeen Aziz apresentou a falha no OffensiveCon Japan e alega ataque 0-click; a Telegram nega o risco e diz que a validação de stickers no servidor mitiga o problema.
Por que importa
Segundo o pesquisador, a falha atinge os clientes do Telegram para iOS, Android e Desktop, usados por jornalistas, executivos e equipes de governo, e não há versão corrigida confirmada. Um sticker malicioso poderia comprometer o dispositivo e as conversas nele. A ZDI não registra ataques confirmados na natureza.
O que fazer
Mantenha o Telegram atualizado em todos os dispositivos. Desative o download automático de mídia e os stickers animados, restrinja quem pode enviar mensagens e oriente os usuários a não abrir arquivos animados, pacotes de stickers ou links desconhecidos.
Para o time técnico
- CVE
- CVE-2026-111105
- Afetados
- Clientes Telegram para iOS, Android e Desktop (biblioteca de renderização de stickers animados rlottie) · Clientes do Telegram para iOS, Android e Desktop que usam a biblioteca rlottie. A ZDI não divulgou versões afetadas. O pesquisador afirma que a rlottie foi substituída pela tlottie, escrita em Rust, removendo o código vulnerável dos clientes.
- Exploração
- Nenhuma exploração na natureza confirmada pela ZDI. As alegações de cadeia 0-click com execução de código no Telegram para iOS vêm do pesquisador Saifeldeen Aziz (apresentação no OffensiveCon Japan) e não foram verificadas de forma independente. Divulgada como advisory zero-day pela ZDI em 15 de outubro por falta de correção no código do cliente.
- Correção
- Sem versões corrigidas divulgadas. A Telegram disse à ZDI que a validação de stickers no servidor mitiga a falha; o pesquisador afirma que a substituição da rlottie pela tlottie (Rust) removeu o código vulnerável. Mitigações citadas: manter os aplicativos atualizados, desativar download automático de mídia e stickers animados, restringir quem pode enviar mensagens e evitar arquivos animados, pacotes de stickers e links não confiáveis.
- Vetor
- Biblioteca rlottie de renderização de stickers animados nos clientes do Telegram para iOS, Android e Desktop. Validação incorreta de dados de animação controlados pelo atacante causa escrita antes do início de um buffer alocado, permitindo execução arbitrária de código no processo do aplicativo. O aviso final da ZDI exige interação do usuário (visitar página maliciosa ou abrir arquivo malicioso); o pesquisador alega cadeia 0-click que burla mitigações no servidor e no cliente.
- Mais detalhes
- Bugs encontrados por fuzzing da rlottie orquestrado por LLM, segundo o pesquisador. Falhas de lógica na entrega e validação de stickers foram encadeadas para burlar mitigações no servidor e no cliente. A falha foi relatada à ZDI com CVSS inicial de 9.8, reduzido a 7.0. A Telegram negou publicamente a existência da falha, segundo publicações no X. Apresentação de Saifeldeen Aziz no OffensiveCon Japan, em Tóquio (27 e 28 de outubro).
Linha do tempo
A ZDI publicou a falha como CVE-2026-111105 (CVSS 7.0) e afirma que ela seguiu sem correção no código dos clientes do Telegram.
Pesquisador divulga que o sticker animado executa código no celular sem qualquer clique; Telegram nega a existência da falha, segundo publicação no X.
Pesquisador relata que a Telegram substituiu a biblioteca rlottie por outra escrita em Rust (tlottie), removendo o código vulnerável dos clientes.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 4 atualizações
Divulgação inicial baseada na apresentação do pesquisador Saifeldeen Aziz no OffensiveCon Japan.
Fontes 4 fontes
- @DailyDarkWeb @DailyDarkWeb
- @IntCyberDigest @IntCyberDigest
- @BalaiBB @BalaiBB
- @DarkWebInformer @DarkWebInformer
