Em 28 de outubro, na conferência OffensiveCon em Tóquio, o pesquisador Saifeldeen Aziz apresentou uma palestra sobre vulnerabilidades zero-click em stickers animados do Telegram — ou seja, aquelas para as quais o usuário não precisa clicar em nada: basta que o cliente renderize o sticker recebido. De acordo com o resumo, várias falhas de corrupção de memória foram encontradas na biblioteca rlottie, que os clientes do Telegram usam para renderizar esses stickers, e a verificação de stickers no servidor pôde ser contornada por erros lógicos em sua entrega. Para o Telegram no iOS, a cadeia, segundo o autor, leva à execução de código. Isso afeta principalmente os proprietários de iPhone e iPad: no Android e no desktop, os stickers já são renderizados por um novo motor do Telegram, enquanto no iOS, o rlottie ainda está presente.

O que se sabe sobre a palestra

A palestra, intitulada «Stickers r-lot-tie Handle: Vulns, Bypasses, and Telegram's Zero-Click Attack Surface», estava na programação do segundo dia da conferência, em 28 de outubro às 10:30 JST (horário de Tóquio). Os organizadores publicaram uma foto do palco às 01:32 UTC, durante a apresentação. Não há gravações, slides, análises públicas ou números CVE para as descobertas de Aziz ainda, então tudo o que se sabe sobre o conteúdo é o resumo.

De acordo com o resumo, a pesquisa durou cerca de um ano e consiste em três etapas:

  • Fuzzing de rlottie. Fuzzing é a alimentação automática de milhões de arquivos malformados em um programa em busca de falhas; aqui, foi conduzido por um modelo de linguagem. Ele encontrou várias falhas de corrupção de memória que, segundo o resumo, afetam os clientes do Telegram no iOS, Android e desktop.
  • Contorno da verificação do servidor. O servidor do Telegram verifica os stickers e não permite arquivos suspeitos — era nisso que o modelo de ameaças se baseava. O resumo descreve erros lógicos específicos na forma como os stickers são entregues e verificados, e vários contornos de proteções no servidor e no cliente.
  • Cadeia contra iOS. Tudo isso foi combinado em um exploit que executa código no Telegram para iOS; as limitações do exploit são discutidas separadamente pelo autor.

Não há etapas de reprodução no resumo, e também não as há neste artigo.

Por que um sticker é perigoso sem clique

Um sticker animado é um arquivo TGS: um JSON compactado com gzip no formato Lottie, onde a animação é descrita por contornos vetoriais. O cliente o rasteriza com uma biblioteca nativa por conta própria, assim que o sticker entra na área visível: no chat, na prévia do diálogo, nas reações, nos emojis de status personalizados. Portanto, uma falha no renderer é uma superfície de ataque sem interação do usuário, e o único filtro entre o remetente e o código vulnerável é o servidor do Telegram.

Daí a pergunta que encerra o resumo: se a segurança do cliente depende de o provedor decidir qual arquivo chegará ao código vulnerável, o que é isso — uma medida de proteção, um risco arquitetônico ou algo mais próximo de um backdoor?

O caso ZDI

A palestra dá continuidade a uma discussão que começou na primavera. Em 26 de março, a Zero Day Initiative (ZDI) informou ao Telegram sobre uma falha em rlottie que permite gravar dados antes do início de um buffer alocado e executar código. Em 31 de março, o Telegram respondeu que a vulnerabilidade havia sido corrigida por uma verificação no servidor, e em 14 de abril, solicitou a cadeia completa até a execução do código. Em 15 de outubro, a ZDI publicou o boletim ZDI-26-757 como uma vulnerabilidade sem correção, com uma pontuação CVSS de 7.0; na primavera, quando o caso foi noticiado pela primeira vez, a pontuação mencionada era de 9.8 (SecurityAffairs, CyberInsider). A palestra de Aziz é construída como uma refutação ao argumento do Telegram: o código, que se pensava ser inatingível, provou ser atingível.

O próprio rlottie do Telegram não é um alvo novo. Em 2020, a Shielder encontrou 13 falhas nele, incluindo CVE-2021-31322; elas foram corrigidas nas versões 7.1 no outono de 2020, e a análise foi publicada em fevereiro de 2021. Em setembro de 2026, um sticker que fechava o aplicativo em todos os clientes, exceto na web, circulou nos chats.

O que o Telegram está mudando no código

O Telegram está escrevendo seu próprio renderer Lottie em Rust — o tlottie. Em sua descrição, é explicitamente declarado que o JSON da animação é considerado uma entrada não confiável, e ele é comparado a um fork de rlottie de 2019, que é usado pelos clientes.

Nos códigos-fonte do Telegram para Android 13.1.1, o rlottie nativo já não está presente — há um tlottie compilado; o Android migrou para ele na versão 12.10.0, e o desktop em setembro.

No Telegram para iOS, o tlottie foi adicionado em 11 de setembro — como um segundo motor ao lado do rlottie, e não em seu lugar. Stickers, emojis, reações e o teclado de stickers escolhem o motor a cada renderização, e o servidor pode revertê-los para rlottie com a flag ios_killswitch_disable_tlottie. Além disso, em 50 outros locais — interface secundária, telas antes do login, janela "Compartilhar", exportação do editor de mídia — o rlottie sempre renderiza. Não é possível determinar pelo código se essas alterações estão relacionadas às descobertas de Aziz; o resumo afirma que o código de renderização vulnerável permanece nos clientes oficiais.