Безопасность 28 октября 2026, 21:49 МСК

Исследователь показал zero-click цепочку атаки на Telegram для iOS через анимированные стикеры

На OffensiveCon Tokyo Сайфелдин Азиз заявил, что объединил уязвимости библиотеки rlottie и ошибки серверной проверки файлов и добился выполнения кода в Telegram для iOS без действий пользователя.

По словам Азиза, за год исследований он применил фаззинг библиотеки rlottie под управлением больших языковых моделей. Эта библиотека воспроизводит анимированные стикеры формата TGS. Были найдены несколько ошибок повреждения памяти в клиентах для iOS, Android и настольных систем.

Telegram проверяет загружаемые стикеры на серверах, и это должно не пускать опасные файлы к уязвимому коду клиента. Азиз нашёл логические ошибки в проверке и доставке стикеров, позволявшие обойти серверные и клиентские ограничения. Это дало ему цепочку эксплуатации. Он ставит под вопрос надёжность защиты, которая целиком зависит от серверной логики.

Ранее, в марте 2026 года, Майкл Деплант из Zero Day Initiative сообщил Telegram о другой уязвимости rlottie, CVE-2026-111105. Её оценку CVSS снизили с 9,8 до 7,0 с учётом серверных мер. Telegram запросил полную цепочку удалённого выполнения кода, а ZDI назвала такое требование не соответствующим практике ответственного раскрытия. 15 октября ZDI опубликовала описание уязвимости как 0-day.

Пока опубликовано лишь описание доклада, а не полный технический разбор. Затронутые версии клиентов и условия атаки неизвестны, независимого подтверждения работоспособности цепочки нет.

• Доклад представлен 28 октября на OffensiveCon Tokyo
• CVE-2026-111105: оценка CVSS снижена с 9,8 до 7,0
• Независимого подтверждения zero-click цепочки пока нет