ثغرة Telegram Android: اختراق كامل للهاتف بمجرد الرد على المكالمات الصوتية

مقدمة تحليلية

بتاريخ 29 أكتوبر 2026، كشفت شركة الأمن السيبراني الناشئة NebuSec عن ثغرة خطيرة في تطبيق Telegram لمنصة Android. تتيح هذه الثغرة للمهاجمين تنفيذ تعليمات برمجية عن بعد (RCE) والحصول على سيطرة كاملة على هاتف الضحية بمجرد الرد على مكالمة صوتية واردة. وقد أثرت الثغرة على الإصدارات من 8.6.2 حتى 12.10.3 من التطبيق، والتي صدرت بين مارس 2022 وسبتمبر 2026. على الرغم من أن Telegram أصدرت تحديثاً لإصلاح المشكلة في الإصدار 12.10.4 في أواخر سبتمبر، إلا أن الشركة لم تعترف في البداية بقدرة الثغرة على تنفيذ التعليمات البرمجية، مما أدى إلى عدم تخصيص معرف CVE أو دفع مكافأة اكتشاف الأخطاء الأمنية لـ NebuSec، وفقاً لما ذكره إيتن زو، الشريك المؤسس والرئيس التنفيذي لـ NebuSec.

التحليل التقني

تكمن الثغرة الأساسية في Telegram لمنصة Android في كيفية معالجة التطبيق لرسائل `MediaState` أثناء المكالمات الصوتية. هذه الرسائل، التي تُستخدم للإبلاغ عن حالة الميكروفون والكاميرا واتجاه الفيديو، لم تتعامل مع الحقول المفقودة بشكل صحيح، مما سمح بالوصول إلى مناطق ذاكرة غير مخصصة. بحسب مراجعة The Hacker News، احتوى الكود المصدري المنشور لـ Telegram للإصدار 12.10.3 (في المسار `TMessagesProj/jni/voip/tgcalls/v2/Signaling.cpp` من السطر L718 إلى L738) على خطأ حيث كان يتم التحقق من قيمة التدوير ثم قراءة حقل `video state` حتى لو لم يكن موجوداً في الرسالة. تم تصحيح هذا في الإصدار 12.10.4 (السطر L725 إلى L745).

لا يتطلب الهجوم سوى حساب Telegram عادي للمهاجم. ولتحقيق السيطرة الكاملة على الهاتف، بما في ذلك الرسائل والميكروفون والكاميرا، يجب ربط هذه الثغرة مع ثغرتين أخريين:

• ثغرة تسريب معلومات تسمح بالهروب من تطبيق Telegram إلى بيئة Android.
• استغلال لجذر Android (Android root exploit) يمنح السيطرة الكاملة على الجهاز.

تم تأكيد الثغرة في المكالمات الصوتية الخاصة على هواتف ARM64 ولم يظهر حتى الآن دليل مباشر على تأثيرها على تطبيقات Telegram لأنظمة iOS والكمبيوتر المكتبي أو المكالمات الجماعية. يمكن حماية المستخدمين من خلال ضبط خيار خصوصية المكالمات في Telegram على “لا أحد” أو رفض المكالمات الواردة. شركة NebuSec، التي تدعمها Y Combinator، زعمت أن منتجها Code Security، الذي يعمل على نموذج OpenAI GPT-5.4، هو من اكتشف هذه الثغرة. كما سبق لها في يوليو 2026 أن كشفت عن سلسلة استغلال Android تبدأ بثغرة في Firefox وتصل إلى نواة جهاز ARM64 يعمل بنظام Android 17.

بالتوازي، نشرت Zero Day Initiative (ZDI) استشارياً بتاريخ 15 أكتوبر 2026 حول ثغرة غير مصححة في `rlottie`، وهي المكتبة التي تستخدمها تطبيقات Telegram لرسومات الملصقات المتحركة. الثغرة، المشار إليها بـ CVE-2026-111105 (بدرجة CVSS: 7.0)، تسمح بتنفيذ تعليمات برمجية إذا فتح المستخدم ملفاً أو صفحة خبيثة. كان Telegram قد أخبر ZDI في مارس بأن الفحوصات على خوادمها قد خففت من الثغرة، وطلب في أبريل سلسلة RCE كاملة. ومع ذلك، أظهر الباحث سيف الدين عزيز أنه يمكن تجاوز هذه الفحوصات باستخدام التضبيب الموجه بالذكاء الاصطناعي (`AI-guided fuzzing`)، وربطها بثغرات في طريقة تسليم الملصقات والتحقق منها لتشغيل التعليمات البرمجية على Telegram لنظام iOS.

استبدل تطبيق Telegram لأندرويد مكتبة `rlottie` بمكتبة `tlottie` المكتوبة بلغة Rust بين الإصدار 12.8.1 في يونيو والإصدار 12.10.0 في أغسطس. وقام تطبيق الكمبيوتر المكتبي بالتبديل نفسه في سبتمبر. أما كود iOS فقد أضاف `tlottie` في الإصدار 13.0 في أكتوبر مع استمراره في تضمين `rlottie`.

السياق وتأثير السوق

تضع هذه الثغرة Telegram في موقف حرج، خاصة بالنظر إلى سمعتها التي طالما ارتبطت بالخصوصية والأمان. إن الإبلاغ عن ثغرة RCE بهذه الخطورة، والتي يمكن تفعيلها بمجرد الرد على مكالمة، يُعد تحدياً مباشراً للموثوقية الأساسية للتطبيق. رفض Telegram الأولي اعتبار الثغرة قابلة لتنفيذ تعليمات برمجية عن بعد وعدم تخصيص معرف CVE أو دفع مكافأة لـ NebuSec، يشير إلى قصور في عمليات التقييم الأمني الداخلية. هذا التناقض بين تقييم شركة أمنية مستقلة (NebuSec) وبين استجابة Telegram يضر بمكانة التطبيق في سوق شديد التنافسية حيث يُعد الأمن ميزة تسويقية حاسمة.

يُظهر هذا الحادث كيف يمكن أن تتأخر الإصلاحات الأمنية عبر الأنظمة الأساسية حتى عندما تعتمد على مكتبات مشتركة. فبالرغم من أن مكتبة `tgcalls` المشتركة بين Android وiOS والكمبيوتر المكتبي تلقت تصحيح “Fix camera rotation” (المعرف `a6ea40ebf18233fad5aae29aa3d30561f839a6a8`) في 21 أبريل 2026، إلا أن نظام iOS حصل عليه في الإصدار 12.7 في مايو، والكمبيوتر المكتبي في الإصدار 7.0.1 في يوليو، بينما تأخر Android حتى الإصدار 12.10.4 في سبتمبر. هذا التباين الزمني في تطبيق التصحيحات يبرز تعقيدات سلاسل التوريد البرمجية وتحديات ضمان الاتساق الأمني عبر بيئات تشغيل متعددة. كما أن استخدام NebuSec لمنتجها المدعوم بنموذج OpenAI GPT-5.4 للكشف عن الثغرة، واستخدام سيف الدين عزيز للتضبيب الموجه بالذكاء الاصطناعي لاكتشاف ثغرات `rlottie`، يؤكد على الدور المتزايد للذكاء الاصطناعي في اكتشاف نقاط الضعف، مما يغير قواعد اللعبة لمنصات مثل Telegram التي قد لا تكون مستعدة بالكامل لهذا التحدي الجديد.