rlottie-Schwachstelle in Telegram: Zero-Click fraglich

Was in rlottie tatsächlich gefunden wurde

Ich würde CVE-2026-111105 nicht als bestätigten Zero-Click-Angriff über einen Sticker bezeichnen. In der Beschreibung dieser CVE und im Eintrag ZDI-26-757 der Zero Day Initiative ist von einem schwerwiegenden Speicherfehler die Rede, für dessen Ausnutzung jedoch eine Nutzerinteraktion angegeben wird, etwa das Öffnen einer bösartigen Datei oder Webseite.

Die Ursache liegt in rlottie, der Bibliothek, die Telegram zum Rendern von Animationen verwendet. Durch numerische Kürzung können angreiferkontrollierte Daten einen Schreibzugriff vor dem Anfang eines reservierten Puffers auslösen. Die möglichen Folgen sind schwerwiegend: Speicherbeschädigung oder die Ausführung beliebigen Codes innerhalb des Telegram-Prozesses.

Zwischen einem solchen primitiven Fehler und dem Szenario „Ein Sticker wird gesendet, und das Konto ist bereits gestohlen“ liegt jedoch eine ganze Ausnutzungskette. Die verfügbaren Beschreibungen bestätigen nicht, dass sie ohne das Öffnen eines Chats, einer Datei oder einer Webseite funktioniert. Stand 4. November 2026 nennen die angeführten Materialien zudem keine konkrete korrigierte Client-Version.

Ältere Schwachstellen in derselben Komponente verstärken die Verwirrung. CVE-2021-31323 beschrieb einen Pufferüberlauf beim Parsen von dash-Elementen, während CVE-2021-31319 einen Integerüberlauf und einen Lesezugriff außerhalb des Speicherbereichs betraf. Sie betrafen Telegram für Android vor 7.1.0 (2090), iOS vor 7.1 und macOS vor 7.1.

Diese Fehler wurden tatsächlich mit bösartigen animierten Stickern in Secret Chats in Verbindung gebracht, wo keine serverseitige Filterung angewandt wurde. Das Opfer musste den Chat aber normalerweise dennoch öffnen, weshalb auch dieses Szenario kein echter Zero-Click-Angriff war.

Warum der Unterschied in der Formulierung wichtig ist

Mein Fazit ist einfach: Die Schwachstelle ist real und gefährlich, doch virale Beschreibungen ihrer Mechanik gehen derzeit über die Belege hinaus. Ein Schreibzugriff außerhalb von Speichergrenzen verdient Aufmerksamkeit, ohne ein unbestätigtes Szenario einer automatischen Kontoübernahme hinzuzufügen.

Bei einer technischen Bewertung würde ich drei Fragen trennen: Welche Plattformen und Versionen sind betroffen, welche Aktion startet die Verarbeitung, und gibt es eine öffentlich bestätigte Kette zur Codeausführung? Die aktuellen Materialien beantworten nur einen Teil davon zuverlässig. Eine in einem Bericht erwähnte serverseitige Prüfung ist auch nicht gleichbedeutend mit einem Client-Fix.

Telegram zu aktualisieren bleibt sinnvoll, doch dadurch wird ein Gerücht nicht zur technischen Tatsache, insbesondere solange keine korrigierte Versionsnummer veröffentlicht wurde. Es handelt sich um einen ernsten Memory-Safety-Fehler, aber dass ein Sticker ein Konto allein durch seine Zustellung kompromittiert, ist nach den verfügbaren Daten noch nicht belegt.

Wir haben zuvor erläutert, wie Sicherheitswarnungen und Kontrollen von Benutzerkonten Risiken in API-gesteuerten Umgebungen aufdecken können. Dieselbe Disziplin bei Überwachung und Zugriffstrennung ist wichtig, wenn ein Fehler in einer Messaging-Plattform ein Konto ohne Nutzerinteraktion kompromittieren kann.