Уразливість rlottie у Telegram: zero-click під питанням

Що насправді знайшли в rlottie

Я б не називав CVE-2026-111105 підтвердженою zero-click атакою через стікер. В описі цієї CVE та картці ZDI-26-757 від Zero Day Initiative йдеться про серйозну помилку безпеки пам'яті, але для експлуатації вказано взаємодію користувача, наприклад відкриття шкідливого файлу або сторінки.

Корінь проблеми міститься в бібліотеці rlottie, яку Telegram використовує для анімації. Через числове усічення дані під контролем зловмисника можуть спричинити запис перед початком виділеного буфера. Потенційний наслідок серйозний: пошкодження пам'яті або виконання довільного коду в процесі Telegram.

Однак між такою примітивною помилкою та сценарієм «надіслали стікер, і акаунт уже викрадено» лежить цілий ланцюг експлуатації. Доступні описи не підтверджують, що він спрацьовує без відкриття чату, файлу чи сторінки. Станом на 4 листопада 2026 року в наведених матеріалах також не названо конкретну виправлену версію клієнта.

Плутанину посилюють старі уразливості того самого компонента. CVE-2021-31323 описувала переповнення буфера під час розбору dash-елементів, а CVE-2021-31319 стосувалася цілочисельного переповнення та читання за межами пам'яті. Вони зачіпали Telegram для Android до 7.1.0 (2090), iOS до 7.1 і macOS до 7.1.

Ті помилки справді пов'язували зі шкідливими анімованими стікерами в Secret Chats, де не застосовувалася серверна фільтрація. Але жертві зазвичай потрібно було відкрити чат, тому цей сценарій теж відрізнявся від справжнього zero-click.

Чому різниця у формулюваннях критична

Висновок простий: сама уразливість реальна й небезпечна, а вірусний опис її механіки поки випереджає докази. Помилка запису за межі пам'яті заслуговує уваги без додавання непідтвердженого сценарію автоматичного зламу.

В інженерній оцінці я б розділяв три питання: які платформи та версії зачеплено, яка дія запускає обробку та чи існує публічно підтверджений ланцюг виконання коду. Нинішні матеріали впевнено відповідають лише на частину з них. Заява про серверну перевірку, згадана в одному зі звітів, також не дорівнює виправленню в клієнті.

Оновити Telegram усе одно варто, але це не перетворює чутку на технічний факт, особливо доки не опубліковано номер виправленої версії. Це серйозна помилка memory safety, але доступні дані ще не доводять, що стікер ламає акаунт самим фактом доставки.

Раніше ми розглядали, як сповіщення безпеки та засоби керування акаунтами допомагають виявляти ризики в API-керованих середовищах. Та сама дисципліна моніторингу й розмежування доступу важлива, коли вада платформи обміну повідомленнями може скомпрометувати акаунт без взаємодії користувача.