كشفت شركة ناشئة للأمن السيبراني تدعى نيبوسيك (NebuSec) أن ثغرة في تطبيق تلغرام لأندرويد يمكن ربطها بثغرتين أخريين للسيطرة الكاملة على هاتف الضحية عبر مكالمة صوتية، بمجرد أن يرد عليها. ولا يحتاج المهاجم سوى حساب تلغرام عادي. وأصلحت تلغرام الثغرة في الإصدار 12.10.4 من التطبيق الصادر أواخر سبتمبر، وأعلنت نيبوسيك تفاصيلها في 29 أكتوبر.
وقال إيتن زو، المؤسس المشارك والرئيس التنفيذي لنيبوسيك، لموقع ذا هاكر نيوز إن الثغرة، حين تقترن بثغرة تسريب معلومات، تمنح المهاجم مخرجا من تطبيق تلغرام إلى نظام أندرويد، وإن إضافة استغلال لصلاحيات الجذر في أندرويد تعطيه سيطرة كاملة على الهاتف، بما فيها الرسائل والميكروفون والكاميرا. ويمكن تفعيل الثغرة في كل الإصدارات من 8.6.2 حتى 12.10.3، وهي صدرت بين مارس 2022 وسبتمبر 2026. وأكدت الشركة وجودها في المكالمات الصوتية الخاصة على هواتف تعمل بمعالجات ARM64، ولا دليل لديها حتى الآن على تأثيرها المباشر في تطبيقي آيفون وسطح المكتب ولا في المكالمات الجماعية.
كيف تعمل الثغرة وكيف تحمي نفسك؟
ينبغي لكل مستخدم لتلغرام على أندرويد التأكد من أن تطبيقه على الإصدار 12.10.4 أو أحدث، ويظهر رقم الإصدار أسفل صفحة الإعدادات. ولم يكن للثغرة معرّف CVE حتى 29 أكتوبر. ويشترط الهجوم أن يتلقى الضحية المكالمة ويرد عليها، بحسب زو، ولذلك يحجبه ضبط خيار خصوصية المكالمات في تلغرام على “لا أحد”، كما يحجبه رفض المكالمة. ولم ترصد نيبوسيك استخدام الثغرة في هجمات فعلية، وتعتقد أن أحدا غيرها لم يدرك إمكانية تحويلها إلى تنفيذ شيفرة عن بعد.
وخلال مكالمة تلغرام، يتبادل التطبيقان رسائل قصيرة لإعداد المكالمة والإبلاغ عن حالتها، ومنها رسالة تسمى MediaState تبلغ عما إذا كان الميكروفون مكتوما وهل الكاميرا مفعلة وكيف تدور الصورة. وكان الخلل في الشيفرة التي تقرأ هذه الرسائل، إذ لم تتعامل مع الحقول المفقودة بصورة صحيحة ووصلت إلى ذاكرة لا ينبغي الوصول إليها، بحسب نيبوسيك. وتبين من مراجعة أجراها ذا هاكر نيوز للشيفرة المصدرية المنشورة للإصدار 12.10.3 وجود خلل يطابق هذا الوصف، فحين تتضمن الرسالة قيمة دوران تتحقق الشيفرة منها، ثم تقرأ حقلا آخر هو حالة الفيديو حتى لو لم تحتوه الرسالة. ويقرأ الإصدار 12.10.4 قيمة الدوران من الحقل الصحيح، وكانت الشيفرة المستدعية لهذه الرسالة قد فُعّلت في الإصدار 8.6.2، وهو أول إصدار تذكره الشركة.
وأبلغت نيبوسيك تلغرام بالثغرة في 26 سبتمبر، بعد صدور الإصدار 12.10.4. وقال زو إن تلغرام أقرت باستلام البلاغ، لكنها لم تعتقد أن الثغرة قابلة للتحويل إلى تنفيذ شيفرة عن بعد، فلم يُمنح معرّف CVE ولم تُدفع مكافأة. وقد طلب الموقع تعليقا من تلغرام.
تأثير محتمل على التطبيقات الأخرى
تستخدم تطبيقات تلغرام لأندرويد وآيفون وسطح المكتب مكتبة مشتركة اسمها tgcalls للمكالمات، وأُدخل في 21 أبريل 2026 تعديل بعنوان “إصلاح دوران الكاميرا” أجرى التصحيح نفسه فيها. وتضمنت شيفرة تطبيق آيفون هذا التعديل منذ الإصدار 12.7 الصادر في مايو، وشيفرة تطبيق سطح المكتب منذ الإصدار 7.0.1 الصادر في يوليو، بينما وصل إلى نسخة أندرويد في الإصدار 12.10.4 في سبتمبر. ولم يثبت حتى الآن أن الشيفرة السابقة كانت قابلة للاستغلال في تلك التطبيقات.
ويعرض فيديو نشرته نيبوسيك هاتفين، أحدهما للمهاجم والآخر للضحية، يقبل فيه الضحية مكالمة تلغرام، وبعد نحو نصف دقيقة ينتقل هاتفه إلى الشاشة الرئيسية وتتساقط الأيقونات ويظهر شعار “HACKED BY NEBUSEC”. ولا يبين الفيديو إصدار تلغرام أو أندرويد على هاتف الضحية، ولم ينشر موقع الشركة حتى 29 أكتوبر شرحا فنيا للثغرة، ولذلك تعتمد تفاصيل سلسلة الهجوم، بما فيها الثغرتان الأخريان، على الفيديو وما تقوله الشركة. وتقول نيبوسيك، وهي شركة ناشئة مدعومة من وايكومبيناتور، إن منتجها للأمان البرمجي Code Security، الذي يعمل على نموذج GPT-5.4 من أوبن إيه آي، اكتشف الثغرة، وكانت قد وصفت في يوليو سلسلة استغلال لأندرويد بدأت بثغرة في فايرفوكس ووصلت إلى نواة جهاز ARM64 يعمل بأندرويد 17.
ثغرة منفصلة في مكتبة الملصقات المتحركة
نشرت مبادرة يوم الصفر (ZDI) في 15 أكتوبر نشرة عن ثغرة غير مصححة في rlottie، المكتبة التي استخدمتها تطبيقات تلغرام لرسم الملصقات المتحركة. وتحمل الثغرة الرقم CVE-2026-111105 بدرجة 7.0 وفق CVSS، وقد تتيح لمهاجم تنفيذ شيفرة إذا فتح المستخدم ملفا أو صفحة خبيثة. وقالت تلغرام للمبادرة في مارس إن فحوصا على خوادمها تخفف الثغرة، ثم طلبت منها في أبريل سلسلة كاملة لتنفيذ الشيفرة عن بعد.
وقال الباحث سيف الدين عزيز في ملخص محاضرته في مؤتمر OffensiveCon بطوكيو إن هذه الفحوص يمكن تجاوزها. واستخدم بحثه الاختبار العشوائي الموجه بالذكاء الاصطناعي، وهو تغذية الشيفرة بكميات كبيرة من المدخلات التالفة أو غير المتوقعة، لاكتشاف أخطاء تلف الذاكرة في rlottie عبر تطبيقات تلغرام لآيفون وأندرويد وسطح المكتب، ثم ربطها بثغرات في طريقة تسليم الملصقات والتحقق منها لتنفيذ شيفرة على تلغرام لآيفون. واستبدل تطبيق أندرويد المكتبة بمكتبة tlottie المكتوبة بلغة Rust بين الإصدار 12.8.1 في يونيو و12.10.0 في أغسطس، بحسب الشيفرة المنشورة. وأجرى تطبيق سطح المكتب التبديل نفسه في سبتمبر، بينما أضافت شيفرة آيفون tlottie في الإصدار 13.0 في أكتوبر مع إبقاء rlottie.
