Contexte de la vulnérabilité

Le 2026‑10, The Hacker News a publié un article indiquant qu’une faille affecte l’application Telegram sur le système d’exploitation Android. Selon le titre de l’article, le défaut se déclenche lorsqu’un utilisateur répond à un appel vocal initié via Telegram. Aucun numéro CVE ni version précise n’est fourni, ce qui limite la visibilité sur l’étendue du problème.

Telegram implémente son service d’appel VoIP en s’appuyant sur les API Android de gestion d’audio et de réseau. Le code client doit donc interagir avec le système d’exploitation pour établir le flux média, gérer les permissions et recevoir les notifications d’appel. Cette architecture crée une surface d’exposition où des composants externes peuvent injecter des données dans le processus de l’application.

Mécanisme d’exploitation

Le titre indique que l’exploitation se produit « when users answer voice calls ». Dans le modèle Android, la réponse à un appel déclenche généralement un Intent ou un BroadcastReceiver qui active le service d’appel. Si le composant qui traite cet Intent ne valide pas correctement les paramètres reçus, un acteur malveillant peut fournir une charge utile spécialement formatée. Cette charge peut alors être exécutée dans le contexte de l’application, profitant des privilèges accordés à Telegram, notamment l’accès au microphone, au stockage et aux contacts.

Le fait que la faille permette « run code » implique que le vecteur d’injection aboutit à l’exécution d’instructions natives ou de code Java. Sans le détail du code source, on peut supposer que la chaîne d’appel inclut une désérialisation d’objet ou l’utilisation d’une classe réflexive non protégée. Ces pratiques sont reconnues comme sources fréquentes de compromission lorsqu’elles sont combinées à des entrées non filtrées.

Conséquences et recommandations

Une exécution de code non autorisée dans Telegram Android ouvre la porte à plusieurs scénarios : prise de contrôle du compte, enregistrement audio clandestin, accès aux données de messagerie et propagation de logiciels malveillants. Le manque d’informations précises sur la version affectée rend difficile la mise en place d’une mitigation ciblée par les utilisateurs. En l’absence de correctif officiel, la recommandation la plus prudente consiste à désactiver temporairement la fonction d’appel vocal dans les paramètres de l’application et à surveiller les mises à jour de sécurité publiées par Telegram.

Les développeurs d’applications Android sont rappelés à la nécessité de valider chaque paramètre d’Intent, d’utiliser des bibliothèques de désérialisation sécurisées et de limiter les permissions accordées aux services d’appel. Les équipes de sécurité de Telegram devront publier un correctif qui renforce la validation des entrées et, idéalement, introduit une vérification d’intégrité du payload avant son exécution.