Telegram animāciju apstrādē atklāta augsta riska ievainojamība CVE-2026-111105, kas noteiktos apstākļos var ļaut uzbrucējam izpildīt patvaļīgu kodu lietotnes procesa tiesību kontekstā. Trend Micro Zero Day Initiative (ZDI) to publicēja 2026. gada 15. oktobrī ar identifikatoru ZDI-26-757 un CVSS vērtējumu 7,0 no 10. Problēma skar Telegram izmantoto rlottie bibliotēku, kas apstrādā Lottie formāta animācijas, tostarp tehnoloģiju, uz kuras balstītas animētās uzlīmes.
Ievainojamības pamatā ir nepietiekama lietotāja piegādāto datu pārbaude. Īpaši izveidota animācijas faila apstrādes laikā skaitliskas vērtības saīsināšana var izraisīt rakstīšanu atmiņas apgabalā pirms piešķirtā bufera sākuma. Šāda atmiņas bojāšana teorētiski ļauj pārņemt programmas izpildes plūsmu. Tomēr ZDI paziņojumā ir skaidri norādīts, ka uzbrukumam nepieciešama lietotāja mijiedarbība: mērķim jāatver ļaunprātīgs fails vai jāapmeklē uzbrucēja sagatavota vietne. Tādēļ publiski izplatītais apgalvojums, ka jebkura saņemta animēta uzlīme automātiski un bez klikšķa uzlauž ierīci, ar oficiālo informāciju nav apstiprināts.
ZDI ievainojamību Telegram paziņoja jau 2026. gada 26. martā. Telegram atbildēja, ka risku mazina servera pusē veiktā datu validācija, kurai jāaptur neatbilstošu uzlīmju nonākšana oficiālajā tīklā. Tas ir būtisks aizsardzības slānis, taču neatceļ pašu klienta bibliotēkas kļūdu, ja kaitīgi dati lietotnē nonāk citā veidā, piemēram, kā lokāli atvērts fails vai no ārējas vietnes. ZDI jūlijā paziņoja par nodomu publicēt informāciju kā nulles dienas ievainojamību, jo publisks klienta puses labojums netika apstiprināts. Telegram Desktop izstrādes vēsturē redzama pāreja no rlottie uz tlottie un turpmāki šīs komponentes atjauninājumi, tomēr publiskie ieraksti neļauj droši piesaistīt konkrētu Telegram versiju, kurā CVE-2026-111105 būtu pilnībā novērsta visās platformās.
Lietotājiem ieteicams nekavējoties atjaunināt Telegram visās ierīcēs, lietotni iegūstot tikai no oficiālā veikala vai Telegram vietnes. Nevajadzētu atvērt negaidītus animāciju failus, dokumentus vai saites no nepazīstamiem sūtītājiem, pat ja tie vizuāli atgādina parastu uzlīmi. Vērts pārskatīt arī automātiskās multivides lejupielādes iestatījumus un ierobežot failu automātisku saglabāšanu no nezināmiem kontaktiem, grupām un kanāliem. Organizācijās var apsvērt lietotņu kontroles politikas un failu atvēršanas ierobežojumus darba ierīcēs.
Papildu konta aizsardzībai ieslēdziet Telegram divpakāpju verifikāciju un regulāri pārbaudiet aktīvās sesijas. Jāņem vērā, ka divpakāpju verifikācija pasargā no nesankcionētas pieslēgšanās kontam, bet neizlabo programmatūras ievainojamību. Pašlaik nav pamata uzskatīt, ka katra animētā uzlīme ir bīstama, tomēr ievainojamība ir reāla un oficiāli dokumentēta. Drošākais risinājums ir izmantot jaunāko Telegram versiju un izturēties piesardzīgi pret failiem un saitēm no nepārbaudītiem avotiem.
Avots: avots: Zero Day Initiative
