Telegram 爆重大危機，一通語音電話就能駭入 Android 手機
資安新創公司 NebuSec 10 月 29 日披露了一項針對 Telegram Android 版的嚴重安全漏洞。攻擊者只需使用一般的 Telegram 帳號撥打語音通話，受害者一旦接聽，駭客便能在其手機上執行任意程式碼。
NebuSec 共同創辦人暨執行長向外媒表示，該漏洞影響了自 2022 年 3 月至 2026 年 9 月期間發布的 8.6.2 至 12.10.3 版本。Telegram 官方已於 9 月底釋出的 12.10.4 版修補此問題。截至 10 月 29 日，該漏洞尚未取得 CVE 編號。
漏洞觸發機制：一通電話就能奪取權限
NebuSec 已在 ARM64 架構手機的一對一通話中確認此漏洞，目前尚無證據顯示 iOS 版、桌面版或群組通話功能會直接受到影響。
當用戶透過 Telegram 建立通話時，雙方的應用程式會互傳名為「MediaState」的簡短訊息，以回報麥克風靜音狀態、鏡頭是否開啟以及影像旋轉方向。NebuSec 指出，該漏洞的成因在於讀取 MediaState 的程式碼未能正確處理缺少的資料欄位，導致系統存取了不該存取的記憶體空間。
外媒檢視 Telegram 12.10.3 版的公開原始碼證實了這項缺陷：當訊息帶有旋轉值時，程式會進行檢查，接著卻錯誤地讀取另一個影像狀態欄位（即使該訊息根本不包含此欄位）。最新的 12.10.4 版已修正此邏輯，改為從正確的欄位讀取旋轉值。
Remember when scam callers only ask for your password? Good times.
Now picking up a wrong call can get you hacked.
Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4.
Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse.
Fixed in Telegram Android 12.10.4（7099)
— NebuSec (@nebusecurity) October 29, 2026
跨平台修補步調不一，Android 版枯等數月
值得注意的是，Telegram 在三個平台共用的通話函式庫 tgcalls，早在 2026 年 4 月 21 日就已透過名為「修正鏡頭旋轉」的更新進行了相同的程式碼修正。iOS 版與桌面版隨後分別在 5 月（12.7 版）與 7 月（7.0.1 版）納入了這項安全更新，但 Android 版卻遲至 9 月才跟上修補腳步。至於早期未修補的 iOS 與桌面版程式碼是否也能被駭客利用，目前尚無確切證據。
NebuSec 是一間獲知名創投 Y Combinator 投資的新創公司。該公司表示，這項漏洞是由其內部搭載 OpenAI GPT-5.4 模型運作的「Code Security」資安產品所發現。
在 NebuSec 公布的實測影片中，受害手機在接聽通話約半分鐘後便跳回主畫面，隨後 App 圖示掉落，並出現「HACKED BY NEBUSEC」的駭客標誌。不過，該影片並未顯示受害手機的 Telegram 與 Android 系統版本，NebuSec 官網也尚未釋出詳細的技術說明。外媒目前已向 Telegram 與 NebuSec 雙方詢問此漏洞是否曾遭駭客實際利用，尚待回覆。
動態貼圖函式庫也藏隱憂
除了語音通話漏洞，資安機構 Zero Day Initiative（ZDI）也在 10 月 15 日公布了另一項針對 Telegram 動態貼圖繪製函式庫 rlottie 的未修補漏洞（CVE-2026-111105，CVSS 評分高達 7.0）。使用者若開啟惡意檔案或頁面，即可能遭駭客執行惡意程式碼。
儘管 Telegram 先前向 ZDI 表示伺服器端的檢查機制可緩解此威脅，但資安研究員 Saifeldeen Aziz 警告這些檢查仍可被繞過。為徹底解決問題，Telegram Android 版已在 6 月至 8 月間的更新中，改用以 Rust 語言撰寫的 tlottie 取代舊有的 rlottie。
專家呼籲，所有 Telegram 用戶應盡速確認並將應用程式更新至 12.10.4 或更新版本，以確保通訊安全。
（首圖來源：Unsplash）