Telegram-Lücke: Sprachanruf konnte Schadcode auf Android ausführen

Sicherheitsforscher des IT-Sicherheitsunternehmens NebuSec haben eine gravierende Schwachstelle im Messenger Telegram offengelegt. Angreifer waren demnach in der Lage, allein durch das Annehmen eines herkömmlichen Sprachanrufs Schadcode auf Android-Smartphones auszuführen. Für einen Angriff reichte ein gewöhnliches Telegram-Konto aus; ein physischer oder vorheriger Zugriff auf das Zielgerät war nicht erforderlich.

Vier Jahre lang unbemerkt im Code

Wie NebuSec mitteilte, blieb das Problem rund vier Jahre lang unbemerkt in den Programmzeilen für Sprach- und Videoanrufe verborgen. Betroffen waren sämtliche Telegram-Versionen für das Betriebssystem Android von Version 8.6.2 bis Version 12.10.3, die zwischen März 2022 und September 2026 veröffentlicht wurden.

Der Fehler lag nach Angaben der Forscher in der unzureichenden Verarbeitung sogenannter MediaState-Nachrichten. Diese Datenpakete übermitteln Statusänderungen während eines Gesprächs, etwa das Stummschalten des Mikrofons, das Aktivieren der Kamera oder Anpassungen bei der Videoausrichtung.

Weil Telegram fehlende Felder in diesen Nachrichten nicht ordnungsgemäß überprüfte, kam es zu unberechtigten Zugriffen auf geschützte Speicherbereiche des Geräts.

Nachweis auf ARM64-Geräten erbracht

Den praktischen Nachweis für die Ausführung von Schadcode erbrachte NebuSec nach eigenen Angaben bei privaten Einzelanrufen auf Testgeräten mit ARM64-Architektur. Direkte Hinweise auf eine Anfälligkeit anderer Betriebssysteme wie Apple iOS, der Desktop-Anwendungen oder von Gruppenanrufen stellte das Sicherheitsunternehmen hingegen nicht fest.

Wer sein Android-Smartphone über die Messenger-Nutzung hinaus effektiv absichern möchte, findet in diesem kostenlosen Ratgeber fünf sofort umsetzbare Schutzmaßnahmen. Sicherheitspaket für Android-Smartphones jetzt gratis sichern

Bislang gibt es keine öffentlichen Belege dafür, dass die Schwachstelle vor ihrer Behebung tatsächlich für reale Angriffe ausgenutzt wurde. Auch eine vollständige technische Dokumentation der gesamten Exploit-Kette liegt nicht öffentlich vor.

Der Lücke war zudem keine Kennung im standardisierten CVE-System zugewiesen worden. NebuSec teilte mit, den Programmierfehler mithilfe eines eigenen Softwaresicherheitswerkzeugs entdeckt zu haben, das auf dem Modell OpenAI GPT-5.4 basiert.

Update auf Version 12.10.4 schließt Sicherheitsleck

Die Entwickler von Telegram haben das Problem inzwischen behoben. Das entsprechende Sicherheitsupdate wurde in der Version 12.10.4 bereitgestellt und am 23.09.2026 an die Nutzerschaft verteilt.

Da veraltete Softwareversionen eines der größten Risiken für die mobile Sicherheit darstellen, erklärt dieser kostenlose Report, wie Sie Ihr Gerät durch die richtigen Updates dauerhaft vor Malware schützen. Kostenlosen Android-Update-Ratgeber herunterladen

Nutzer der Android-App sollten ihre aktuell installierte Telegram-Version in den Programmeinstellungen überprüfen. Sofern noch nicht geschehen, wird eine umgehende Aktualisierung auf die Version 12.10.4 oder eine neuere Ausgabe empfohlen, beispielsweise über den Google Play Store.