Uma vulnerabilidade no Telegram para Android, divulgada em 29 de outubro de 2026, permitia que código malicioso fosse executado depois que uma pessoa atendesse uma chamada de voz, segundo a empresa de segurança NebuSec. O Telegram já havia corrigido o problema na versão 12.10.4, lançada em setembro. O cuidado imediato consiste em verificar qual versão está instalada, não em abandonar o aplicativo.
A divulgação foi detalhada pelo The Hacker News, que também examinou mudanças no código aberto do aplicativo. A publicação ressalta uma distinção: a correção foi identificada e a demonstração do ataque foi apresentada pelos pesquisadores, mas não havia confirmação pública de uso da falha em ataques reais.
Primeiro verifique o número da versão instalada
- Abra o Telegram no aparelho Android e entre em Configurações.
- Role a tela até a parte inferior e procure o número da versão do aplicativo.
- Compare com 12.10.4. Se for uma edição anterior, abra a loja oficial em que o app foi instalado e procure uma atualização.
- Depois de atualizar, retorne às configurações para confirmar a versão realmente instalada.
Não basta ter ativado atualizações automáticas. Uma pessoa pode manter uma versão antiga porque o celular ficou sem espaço, a instalação falhou ou o aplicativo foi obtido por outra origem. A conferência manual resolve a dúvida sem depender de mensagens de terceiros.
Qual é a versão mínima corrigida?
A informação divulgada pela NebuSec é que as versões 8.6.2 a 12.10.3 eram afetadas no Android. A correção aparece na 12.10.4 e nas versões posteriores. Isso não significa que todo aparelho com edição antiga tenha sido invadido, apenas que a atualização é recomendada para eliminar aquela vulnerabilidade conhecida.
Uma chamada bastava para ocorrer o problema?
O cenário descrito pelos pesquisadores envolvia uma chamada de voz atendida pela vítima. Durante a comunicação, os aplicativos trocam mensagens de estado para coordenar recursos como áudio, vídeo e orientação da câmera. O processamento inadequado de uma dessas mensagens estava ligado à falha de memória identificada na biblioteca de chamadas.
Um vídeo apresentado pela empresa mostra a exploração em dois dispositivos. A publicação técnica observa, porém, que não foi divulgado um relatório completo que permita avaliar independentemente cada etapa da execução de código. Portanto, é incorreto afirmar que qualquer ligação recebida produzia uma invasão ou que houve uma campanha generalizada contra usuários.
- Risco demonstrado: execução de código em um cenário controlado apresentado por pesquisadores.
- Alcance informado: aplicativo Android em versões específicas e cenário de chamada privada.
- Dado ainda desconhecido: quantidade de vítimas e eventual exploração da falha fora de testes.
Uma atualização aplicada no telefone também merece uma conferência simples: se há diversos aparelhos ligados à mesma conta, a versão do aplicativo deve ser verificada em cada um separadamente. A versão exibida no Android não informa se o programa instalado em um computador também foi atualizado. Essa separação evita a falsa impressão de proteção geral quando apenas um dispositivo recebeu correção.
Quem usa iPhone ou computador deve se preocupar?
A reportagem técnica não encontrou evidência de que o mesmo ataque tenha sido demonstrado contra as versões para iOS, desktop ou chamadas em grupo. Isso não equivale a garantir ausência de qualquer vulnerabilidade nesses sistemas. O problema conhecido foi descrito especificamente para o aplicativo Android.
Como o Telegram utiliza componentes compartilhados entre plataformas, a equipe que analisou o código também comparou as versões corrigidas. A correção correspondente já havia aparecido em partes do código do iOS e do desktop antes de chegar à versão Android citada. A recomendação geral continua sendo manter todos os aplicativos atualizados.
E se alguém já tiver atendido uma chamada suspeita?
Atender uma ligação no passado não prova comprometimento. Caso existam sinais concretos, como sessões desconhecidas, mensagens enviadas sem autorização ou alterações de segurança, revise as sessões ativas em Configurações, encerre acessos desconhecidos e ative a verificação em duas etapas. Se houver suspeita de controle do aparelho, procure suporte técnico qualificado.
Uma distinção essencial: atualização de segurança corrige a vulnerabilidade conhecida, mas não é uma prova de que contas antigas estejam protegidas contra golpes de phishing, roubo de senha ou vazamento de código.
Links de atualização devem abrir na loja oficial
Golpistas podem aproveitar uma notícia de segurança para distribuir aplicativos falsos. Uma mensagem com botão de atualização enviado por desconhecidos não é a mesma coisa que uma correção oficial. Evite baixar arquivos APK por links recebidos em grupos ou mensagens privadas.
A referência técnica para entender a descoberta é o relato sobre a vulnerabilidade de chamadas do Telegram; a distribuição do aplicativo deve ocorrer pelos canais legítimos do Telegram. A ação mais útil é simples: confirme que o número da versão já é 12.10.4 ou superior.
