Nach Angaben des Mitgründers und Geschäftsführers von NebuSec lässt sich der Fehler in sämtlichen Versionen von 8.6.2 bis 12.10.3 auslösen. Diese Fassungen erschienen zwischen März 2022 und September 2026. Bestätigt hat das Unternehmen das Problem in privaten Telefonaten auf Geräten mit ARM64-Architektur; Hinweise darauf, dass die iOS- und Desktop-Apps von Telegram oder Gruppenanrufe unmittelbar betroffen sind, gibt es bislang nicht. Eine CVE-Kennung lag für die Lücke am 29. Oktober nicht vor.
Nutzerinnen und Nutzer von Telegram für Android sollten prüfen, ob die App auf Version 12.10.4 oder neuer läuft. Die Versionsnummer steht am unteren Ende der Einstellungsseite der App.
Technisch setzt die Lücke an der Signalisierung von Anrufen an: Während eines Telegram-Gesprächs tauschen die beiden Apps kurze Nachrichten aus, um den Anruf aufzubauen und seinen Zustand zu melden. Ein Nachrichtentyp namens MediaState meldet, ob das Mikrofon stummgeschaltet ist, ob die Kamera läuft und wie das Video gedreht ist. Der Fehler steckte im Code, der MediaState-Nachrichten einliest: Er behandelte fehlende Felder nicht korrekt und griff auf Speicher zu, auf den er nicht hätte zugreifen dürfen, so NebuSec.
Der veröffentlichte Quellcode von Telegram zu Version 12.10.3 enthält eine Stelle, die dieser Beschreibung entspricht: Enthielt eine MediaState-Nachricht einen Rotationswert, prüfte der Code diesen Wert und las anschließend ein anderes Feld aus – den Videozustand –, auch wenn die Nachricht ein solches Feld gar nicht enthielt. Version 12.10.4 liest den Rotationswert aus dem richtigen Feld. Der aufrufende Code, der diese Nachricht verwendet, wurde in Version 8.6.2 aktiviert – der ersten Version, die NebuSec nennt.
Die Android-, iOS- und Desktop-Apps von Telegram nutzen für Anrufe eine gemeinsame Bibliothek namens tgcalls. Eine mit „Fix camera rotation" bezeichnete Änderung nahm dieselbe Korrektur am 21. April 2026 in tgcalls vor. In den iOS-Quellcode von Telegram floss sie mit Version 12.7 im Mai ein, in den Code der Desktop-App mit Version 7.0.1 im Juli. Telegram für Android erhielt sie erst im September mit 12.10.4. Ob der ältere Code in den anderen Apps ausnutzbar war, ist nicht gezeigt worden.
Ein Video von NebuSec zeigt zwei Telefone, eines als Angreifer, eines als Opfer markiert. Das Opfer nimmt einen Telegram-Anruf an; nach etwa einer halben Minute wechselt dessen Telefon zum Startbildschirm, die App-Symbole fallen den Bildschirm hinunter, und ein Logo mit der Aufschrift „HACKED BY NEBUSEC" erscheint. Welche Telegram- oder Android-Version auf dem Opfergerät lief, zeigt das Video nicht. Eine technische Ausarbeitung der Lücke stand am 29. Oktober nicht auf der Website von NebuSec, sodass der Schritt von der Lücke zur Codeausführung allein auf dem Video und den Angaben des Unternehmens beruht.
NebuSec, ein von Y Combinator unterstütztes Start-up, gibt an, die Lücke mit seinem Produkt Code Security gefunden zu haben, das auf dem Modell GPT-5.4 von OpenAI läuft. Im Juli beschrieb das Unternehmen eine Android-Exploit-Kette, die bei einer Firefox-Schwachstelle begann und bis zum Kernel eines ARM64-Geräts mit Android 17 reichte.
Unabhängig davon veröffentlichte die Zero Day Initiative (ZDI) am 15. Oktober einen Sicherheitshinweis zu einer ungepatchten Schwachstelle in rlottie – jener Bibliothek, mit der Telegram-Apps animierte Sticker zeichnen. Der als CVE-2026-111105 geführte Fehler (CVSS-Wert 7.0) kann laut ZDI Codeausführung ermöglichen, wenn ein Nutzer eine präparierte Datei oder Seite öffnet. Telegram hatte der ZDI im März mitgeteilt, serverseitige Prüfungen entschärften das Problem, und im April um eine vollständige Kette zur Remote-Codeausführung gebeten.
Diese Prüfungen ließen sich umgehen, schreibt der Forscher Saifeldeen Aziz in der Zusammenfassung seines Vortrags auf der OffensiveCon in Tokio. Die Arbeit nutzte KI-gesteuertes Fuzzing – das massenhafte Einspeisen fehlerhafter oder unerwarteter Eingaben –, um Speicherfehler in rlottie in den iOS-, Android- und Desktop-Apps von Telegram zu finden. Diese Fehler, die auf Schwächen bei Auslieferung und Prüfung von Stickern zurückgehen, wurden anschließend zu einer Kette verbunden, die Codeausführung in Telegram für iOS erlaubte.
Die Android-App ersetzte rlottie dem veröffentlichten Quellcode zufolge zwischen den Versionen 12.8.1 im Juni und 12.10.0 im August durch tlottie, eine in Rust geschriebene Bibliothek. Der Code der Desktop-App vollzog denselben Wechsel im September, der iOS-Code nahm tlottie mit Version 13.0 im Oktober auf, enthält rlottie aber weiterhin.