Уязвимость rlottie в Telegram: zero-click под вопросом

Что на самом деле нашли в rlottie

Я бы не называл CVE-2026-111105 подтверждённой zero-click атакой через стикер. В описании этой CVE и карточке ZDI-26-757 от Zero Day Initiative говорится о серьёзной ошибке памяти, но для эксплуатации указано взаимодействие пользователя, например открытие вредоносного файла или страницы.

Корень проблемы находится в библиотеке rlottie, которую Telegram использует для анимации. Из-за числового усечения подконтрольные атакующему данные могут вызвать запись перед началом выделенного буфера. Результат потенциально тяжёлый: повреждение памяти или выполнение произвольного кода внутри процесса Telegram.

Однако между такой примитивной ошибкой и сценарием «прислали стикер, аккаунт уже украден» лежит целая цепочка эксплуатации. Доступные описания не подтверждают, что она срабатывает без открытия чата, файла или страницы. К 4 ноября 2026 года в приведённых материалах также не названа конкретная исправленная версия клиента.

Путаницу усиливают старые уязвимости того же компонента. CVE-2021-31323 описывала переполнение буфера при разборе dash-элементов, а CVE-2021-31319 касалась целочисленного переполнения и чтения за границами памяти. Они затрагивали Telegram для Android до 7.1.0 (2090), iOS до 7.1 и macOS до 7.1.

Те ошибки действительно связывали с вредоносными анимированными стикерами в Secret Chats, где серверная фильтрация не применялась. Но жертве обычно требовалось открыть чат, поэтому и этот сценарий отличался от настоящего zero-click.

Почему разница в формулировках критична

Для меня вывод простой: сама уязвимость реальна и опасна, а вирусное описание её механики пока опережает доказательства. Ошибка записи за границами памяти заслуживает внимания без добавления неподтверждённого сценария автоматического взлома.

В инженерной оценке я бы разделял три вопроса: какие платформы и версии затронуты, какое действие запускает обработку и существует ли публично подтверждённая цепочка выполнения кода. Сейчас материалы уверенно отвечают только на часть из них. Заявление о серверной проверке, упомянутое в одном из отчётов, тоже не равно клиентскому исправлению.

Обновление Telegram остаётся разумной мерой, но оно не превращает слух в технический факт, особенно пока номер исправленной версии не опубликован. Перед нами серьёзная memory-safety ошибка, но «стикер, который ломает аккаунт одним фактом доставки», в доступных данных ещё не доказан.

Ранее мы разбирали, как уведомления безопасности и средства контроля аккаунтов могут выявлять риски в средах с API. Та же дисциплина мониторинга и разделения доступа важна, когда уязвимость в платформе обмена сообщениями способна скомпрометировать аккаунт без действий пользователя.