Telegram'in Android surumunde acik: Sesli arama yanitlaninca kod calisabiliyordu

Telegram'in Android surumundeki bir acik, kurban bir sesli aramayi yanitladiginda saldirganin cihazda kod calistirmasina izin verebiliyordu. The Hacker News'in 29 Ekim 2026'da aktardigi, girisim sirketi NebuSec'e ait rapora gore saldirganin acigi kotuye kullanmak icin yalnizca siradan bir Telegram hesabina ihtiyaci vardi; Telegram ise duzeltmeyi yayimlamis durumda.

Neler oldu?

Rapora gore bir Telegram aramasi sirasinda uygulamalar kisa durum mesajlari aliyor. Hatali kod, bunlardan biri olan ve mikrofon, kamera ile video donme durumu gibi bilgileri ileten MediaState mesajini isliyordu. The Hacker News, kodun eksik alanlari duzgun ele almadigini belirtti: bir donme degeri mevcut oldugunda, video-durumu alani bulunmasa bile okunuyor ve bu da olmamasi gereken bir bellek bolgesinin okunmasina yol aciyordu. NebuSec, sonucu kod calistirma olarak tanimliyor.

Teknik detaylar

Y Combinator destekli bir girisim olan NebuSec, acigi, sirkete gore OpenAI'nin GPT-5.4 modeliyle calisan Code Security urununu kullanarak buldugunu soyledi. The Hacker News, Telegram'in yayimlanan 12.10.3 kaynak kodunu kendisinin de inceledigini ve anlatilan hatayla ortusen kodu buldugunu bildirdi. NebuSec sorunu ARM64 telefonlarda dogruladigini, iOS, masaustu veya grup aramalarini dogrudan etkiledigine dair kaniti olmadigini belirtti. Yayin, ayni duzeltici degisikligin Telegram'in iOS (12.7) ve masaustu (7.0.1) surumlerinde de goruldugunu ve paylasilan tgcalls kitapligina 21 Nisan 2026'da eslesen bir duzeltmenin eklendigini; ancak onceki kodun bu platformlarda istismar edilebilir olup olmadiginin gosterilmedigini aktardi.

Kanitlar ne kadar guclu?

The Hacker News, kamuya acik kanitin sinirlari konusunda temkinliydi. NebuSec, aramanin yaklasik 30. saniyesinde kurbanin telefonunun ana ekrana donmesini ve "HACKED BY NEBUSEC" logosunu gosteren bir video yayimladi; ancak videoda cihazin Telegram veya Android surumu gorunmuyor ve sirket 29 Ekim itibariyle teknik bir ayrinti yazisi yayimlamamisti. Bu nedenle yayin, acikttan tam kod calistirmaya giden yolun videoya ve sirketin aciklamalarina dayandigini belirtti. Henuz bir CVE atanmamisti ve acigin gercek saldirilarda kullanilip kullanilmadigi bilinmiyordu; The Hacker News hem NebuSec'e hem Telegram'a sordugunu soyledi.

Ne yapmali?

Kullanicilar icin net ve dogrulanabilir adim guncellemek. Etkilenen surumlerin, mart 2022 ile eylul 2026 arasinda yayimlanan 8.6.2 ile 12.10.3 arasindaki tum Android surumlerini kapsadigi bildirildi. Telegram sorunu, eylul 2026 sonunda cikan 12.10.4 surumuyle duzeltti. Rapor, kurulu surum numarasinin uygulamanin Ayarlar sayfasinin en altinda gorundugunu belirtiyor; boylece kullanicilar 12.10.4 veya ustunde olduklarini dogrulayabilir. Guncelleme yapilana kadar, acigin tetiklenme bicimi goz onune alindiginda taninmayan hesaplardan gelen sesli aramalari yanitlamak ek risk tasiyor.