Vulnerabilidad de rlottie en Telegram: zero-click en duda

Qué se encontró realmente en rlottie

No calificaría CVE-2026-111105 como un ataque zero-click confirmado mediante stickers. La descripción de la CVE y la ficha ZDI-26-757 de Zero Day Initiative hablan de un grave fallo de seguridad de memoria, pero indican que la explotación requiere interacción del usuario, por ejemplo abrir un archivo o una página maliciosos.

El problema reside en rlottie, la biblioteca que Telegram utiliza para mostrar animaciones. El truncamiento numérico puede permitir que datos controlados por un atacante provoquen una escritura antes del inicio de un búfer asignado. El resultado potencial es grave: corrupción de memoria o ejecución de código arbitrario dentro del proceso de Telegram.

Sin embargo, entre ese error primitivo y el escenario de «envían un sticker y la cuenta ya fue robada» existe toda una cadena de explotación. Las descripciones disponibles no confirman que funcione sin abrir un chat, archivo o página. A fecha del 4 de noviembre de 2026, los materiales citados tampoco indican una versión concreta del cliente con la corrección.

Las vulnerabilidades antiguas del mismo componente aumentan la confusión. CVE-2021-31323 describía un desbordamiento de búfer al analizar elementos dash, mientras que CVE-2021-31319 trataba un desbordamiento de enteros y una lectura fuera de límites. Afectaban a Telegram para Android anterior a 7.1.0 (2090), iOS anterior a 7.1 y macOS anterior a 7.1.

Esos fallos sí se asociaron con stickers animados maliciosos en Secret Chats, donde no se aplicaba filtrado del lado del servidor. Pero la víctima normalmente debía abrir el chat, por lo que tampoco era un escenario zero-click real.

Por qué importa la diferencia en la formulación

La conclusión es sencilla: la vulnerabilidad es real y peligrosa, pero las descripciones virales de su mecánica van por delante de las pruebas. Una escritura fuera de límites merece atención sin añadir un escenario no confirmado de compromiso automático de cuentas.

En una evaluación técnica separaría tres preguntas: qué plataformas y versiones están afectadas, qué acción inicia el procesamiento y si existe una cadena de ejecución de código confirmada públicamente. Los materiales actuales solo responden con seguridad a una parte de ellas. Una afirmación sobre validación del servidor citada en un informe tampoco equivale a una corrección en el cliente.

Actualizar Telegram sigue siendo razonable, pero no convierte un rumor en un hecho técnico, especialmente mientras no se publique el número de versión corregida. Es un grave fallo de seguridad de memoria, pero los datos disponibles aún no prueban que un sticker comprometa una cuenta solo por entregarse.

Anteriormente explicamos cómo las alertas de seguridad y los controles de cuentas pueden revelar riesgos en entornos basados en API. La misma disciplina de supervisión y separación de accesos importa cuando un fallo en una plataforma de mensajería puede comprometer una cuenta sin interacción del usuario.