یک آسیب‌پذیری امنیتی بحرانی با شناسه ZDI-26-757 در اپلیکیشن تلگرام کشف شده است که به مهاجمان اجازه می‌دهد کدهای مخرب خود را از راه دور (Remote Code Execution) بر روی دستگاه‌های آسیب‌پذیر اجرا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در کتابخانه rlottie ریشه دارد. مشکل اصلی ناشی از عدم اعتبارسنجی صحیح داده‌های ورودی توسط کاربر است که منجر به رخ دادن یک خطای Numeric Truncation (برش عددی) می‌شود. این خطا در نهایت باعث ایجاد یک وضعیت Write-before-buffer (نوشتن پیش از شروع بافر تخصیص‌یافته) می‌گردد.
یک عامل تهدید می‌تواند با بهره‌برداری از این نقص، کدی را در محیط پردازش جاری (Current Process) اجرا کرده و کنترل بخشی از سیستم را در دست بگیرد.
شرایط بهره‌برداری
- تعامل کاربر (User Interaction): برای فعال شدن این اکسپلویت، کاربر هدف باید یک صفحه وب مخرب را بازدید کرده یا یک فایل آلوده را باز کند.
- سطح دسترسی: کد مخرب در سطح دسترسی پردازش فعال تلگرام اجرا می‌شود.
روند افشای آسیب‌پذیری
بر اساس گزارش‌های منتشر شده، این آسیب‌پذیری در مارس ۲۰۲۶ به سازنده گزارش شد. اگرچه تلگرام مدعی شد که این مشکل را از طریق اعتبارسنجی در سمت سرور (Server-side validation) کاهش داده است، اما تیم ZDI تأکید کرد که این اقدام برای رفع کامل مشکل کافی نیست. پس از اختلاف نظر در مورد ارائه زنجیره کامل اکسپلویت (RCE Chain) و عدم ارائه وصله نهایی، این مورد به عنوان یک زیرو دِی (Zero-Day) منتشر شد.
راهکارهای مقابله
با توجه به ماهیت این آسیب‌پذیری و نبود وصله قطعی در زمان گزارش، تنها استراتژی کاهش ریسک فعلی، محدود کردن تعامل با فایل‌های ناشناس و عدم بازدید از لینک‌های مشکوک در محیط تلگرام است.
