Faille rlottie dans Telegram : le zero-click reste incertain

Ce qui a réellement été découvert dans rlottie

Je ne qualifierais pas CVE-2026-111105 d'attaque zero-click confirmée via un sticker. La description de cette CVE et la fiche ZDI-26-757 de Zero Day Initiative font état d'une grave erreur de sécurité mémoire, mais précisent que l'exploitation exige une interaction utilisateur, comme l'ouverture d'un fichier ou d'une page malveillante.

Le problème se situe dans rlottie, la bibliothèque utilisée par Telegram pour afficher des animations. Une troncature numérique peut permettre à des données contrôlées par un attaquant de provoquer une écriture avant le début d'un tampon alloué. Les conséquences potentielles sont graves : corruption mémoire ou exécution de code arbitraire dans le processus Telegram.

Il existe toutefois toute une chaîne d'exploitation entre cette primitive et le scénario « un sticker arrive et le compte est déjà volé ». Les descriptions disponibles ne confirment pas qu'elle fonctionne sans ouvrir une conversation, un fichier ou une page. Au 4 novembre 2026, les documents cités ne donnent pas non plus de version précise du client corrigée.

Les anciennes vulnérabilités du même composant renforcent la confusion. CVE-2021-31323 décrivait un dépassement de tampon lors de l'analyse d'éléments dash, tandis que CVE-2021-31319 concernait un dépassement d'entier et une lecture hors limites. Elles affectaient Telegram pour Android avant 7.1.0 (2090), iOS avant 7.1 et macOS avant 7.1.

Ces défauts ont bien été associés à des stickers animés malveillants dans les Secret Chats, où le filtrage côté serveur ne s'appliquait pas. Mais la victime devait généralement ouvrir la conversation : ce scénario n'était donc pas non plus un véritable zero-click.

Pourquoi la formulation est essentielle

La conclusion est simple : la vulnérabilité est réelle et dangereuse, mais les descriptions virales de son mécanisme devancent pour l'instant les preuves. Une écriture hors limites mérite de l'attention sans y ajouter un scénario non confirmé de compromission automatique de compte.

Dans une évaluation technique, je distinguerais trois questions : quelles plateformes et versions sont touchées, quelle action déclenche le traitement et existe-t-il une chaîne d'exécution de code publiquement confirmée ? Les documents actuels ne répondent avec certitude qu'à une partie de ces questions. Une mention de validation côté serveur dans un rapport ne constitue pas non plus un correctif côté client.

Mettre Telegram à jour reste raisonnable, mais cela ne transforme pas une rumeur en fait technique, surtout tant qu'aucun numéro de version corrigée n'est publié. Il s'agit d'un grave problème de sécurité mémoire, mais les données disponibles ne prouvent pas encore qu'un sticker compromet un compte par sa seule livraison.

Nous avons déjà expliqué comment les alertes de sécurité et les contrôles de compte peuvent révéler des risques dans des environnements pilotés par API. La même rigueur en matière de surveillance et de séparation des accès compte lorsqu'une faille de messagerie peut compromettre un compte sans interaction utilisateur.