Исследователь обошёл серверную защиту Telegram от вредоносных стикеров

Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад о zero-click уязвимостях в стикерах Telegram на конференции OffensiveCon.

Zero-click — это атака, для которой жертве не нужно ничего нажимать: достаточно получить сообщение. Исследование заняло год. Материалы доклада пока не опубликованы, поэтому неизвестно, на каких версиях приложений проверялась атака.

Сначала Азиз с помощью фаззинга под управлением ИИ (автоматической подачи программе случайных данных) нашёл несколько ошибок повреждения памяти в rlottie. Эта библиотека отвечала в Telegram за отрисовку анимированных стикеров. Защиту от таких ошибок мессенджер строил на серверной проверке, которая должна отсеивать вредоносные файлы.

Затем исследователь нашёл логические ошибки в доставке и проверке стикеров и с их помощью обошёл эту защиту. Объединив уязвимости в цепочку, он добился выполнения кода на устройстве в Telegram для iOS. По словам Азиза, даже после его отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код остаётся в официальных клиентах.

«Стоит ли считать такую модель мерой защиты, архитектурным риском или чем-то ближе к бэкдору?» — задаётся вопросом Азиз в анонсе доклада.

Тем временем Telegram сменил библиотеку. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, переписанную на Rust. Её уже используют Telegram Desktop, приложение для macOS и Android, а с сентября — и Telegram для iOS. Язык Rust исключает целый класс ошибок работы с памятью, на которых строились атаки через стикеры. Независимых аудитов tlottie пока нет.

Поэтому прямой угрозы для пользователей актуальных версий официальных приложений, скорее всего, нет. Однако логические ошибки в доставке и проверке стикеров от библиотеки отрисовки не зависят, и исправлены ли они, пока неизвестно.

Проблемы с rlottie известны давно. В 2020 году специалисты компании Shielder нашли в библиотеке 13 ошибок, позволявших удалённо повреждать память устройства, и Telegram закрыл их по отдельности. В 2025 году брокер уязвимостей Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а в Telegram заявляли, что он никогда не был уязвим для таких атак.

В марте 2026 года в базе Zero Day Initiative (ZDI) появилась запись об уязвимости в стикерах Telegram. Тогда пресс-служба мессенджера заявила «Код.ру», что такой эксплойт невозможен, поскольку все стикеры проверяются на серверах. В октябре ZDI опубликовала подробности уязвимости и отметила её как неисправленную.