Telegram sohbetlerinde, uygulamayı kapatıp düşüren animasyonlu bir stiker dolaşıyor. Bu zafiyet iOS, Android, macOS ve Windows sistemlerinde tekrarlanabiliyor; web sürümü ise hâlâ çalışıyor. Bu animasyonla ilgili rapor, Temmuz ayından beri Telegram destek ekibiyle paylaşılmıştı; dosya yaygınlaşmaya başladığında Eylül ayında düzeltmeye başlandı. Sonuç olarak, Telegram’ın kendi stikerleri arasında bir çöküş bulmuş oldu.
Çöküş Nasıl Çalışıyor
Telegram’da animasyonlu stikerler, TGS formatında bir dosyadır: Lottie formatında, vektörel konturlar noktalarla tanımlanmış, gzip ile sıkıştırılmış JSON dosyasıdır. İstemciler bu dosyaları yerel animasyon motoruyla rasterleştirir — ve tam da bu motor, zararlı dosyayla karşılaştığında çöker. Zafiyetle ilgili tartışmalarda, sorunun nokta sayısıyla ilgili olduğu belirtiliyor: animasyon içinde anormal derecede fazla kontur noktası bulunuyor ve bu noktaların ayrıştırılması istemciyi çökertiyor. Web sürümü ise Lottie’ı farklı bir motorla işliyor; bu yüzden tüm resmi istemciler arasında sadece web sürümü sağlam kalıyor.
Önemli bir ayrıntı: Telegram’ın yüklenen stikerler için sunucu tarafında bir kontrolü var — bazı hatalı dosyalar yükleyici tarafından reddediliyor — ancak çöküş animasyonu bu kontrolü geçiyor. İstemci dosyayı normal bir stiker gibi alıyor ve çizim sırasında kendi içinde çöküyor.
Bu yüzden çöküşün coğrafyası şöyle: herhangi birinin arayüzünde animasyon görünürlük alanına girerse — sohbet içinde, diyalog önizlemesinde ya da tepki listesinde — uygulama kapanıyor.
Zaman Çizelgesi
Zafiyet Temmuz ayından beri biliniyor. Bug hunter @w1r3l355, tüm istemcileri (web hariç) kapatıp kapanan bir stikerle ilgili destek ekibine rapor gönderdi — dosyayı açıkça paylaşmadı. Rapor, Android, iPhone, Mac ve Windows’da test edildi: dört platformda da istemciler çöktü ve stikeri alan sohbet, katılımcılar için artık açılamaz hâle geldi. Raporun ardından hiçbir yanıt ya da ödemeyi de gelmedi.
Eylül’ün başlarında dosya yeniden bulundu — bu sefer rapor edilmedi, doğrudan sohbetlere dağıtıldı. 8 Eylül’de ikinci vektör ortaya çıktı: stikerdan özel emoji yapıldı ve durum alanına yerleştirildi https://t.me/barboskich_ton/4960. Özel emoji’ler de Lottie formatında, durum ise kişi herhangi bir sohbette yazdığı anda isminin yanında çiziliyor; bu sayede çöküş artık mesaj göndermeye bile gerek kalmadan çalışabiliyor.
Düzeltme, dosyanın yaygınlaşmasından sonra başladı. Bu sırada internet, sayıyı kaydetti:
Düzeltmeye Kadar Ne Yapmalı
Tüm çalışan geçici çözümler tek bir noktaya odaklanıyor: istemcinin animasyonu çizmesini engellemek.
- Telegram ayarlarında enerji tasarrufu modu, animasyonlu stikerlerin ve emoji’lerin otomatik oynatılmasını devre dışı bırakır — dosya ayrıştırılmaz, çöküş meydana gelmez. En güvenli geçici çözüm.
- Uygulama açılışta hemen kapanıyorsa — Telegram’dan gelen herhangi bir bildirimi açın: istemci, çöken sohbeti atlayarak belirli bir sohbette başlar.
- Telegram simgesine uzun basılı tutun → “Favoriler” veya “Mesaj yaz” seçeneği — son açık sohbete girmeden başlatma.
- Web istemcisi çalışır: bu yolla göndereni bulabilir, mesajı silebilir ve şikayet edebilirsiniz.
Geçici çözümler koleksiyonu kullanıcılar tarafından toplandı.
Yakın günler için basit bir hijyen kuralı: rastgele dağıtımlardan, “seninle çalışıyor mu?” gibi mesajlardan gelen paketleri durumunuza koymayın ya da yükleyin — düzeltmeye kadar her bilinmeyen animasyon bu dosya olabilir. Doğrulanmış paketler, emoji ve stiker kataloglarında bulunuyor.
Raporda Ekonomi
Zafiyetin kendisi değil, yolculuğu dikkat çekici. Temmuz’da, açık olmayan bir proof-of-concept ile gönderilen rapor, bir buçuk ay boyunca cevapsız kaldı; düzeltme, dosyanın yaygınlaşmasından sonra başladı. Karşılaştırma yapmak gerekirse: dış bağlantıları iç bağlantı gibi maskeleyen, kullanıcıların IP adresini açığa çıkaran bir zafiyet için Telegram 100 dolar ödeme yaptı https://t.me/TorZireael1/1119. Ancak tüm yerel istemcileri kapatıp düşüren animasyon için bugüne kadar hiçbir ödeme yapılmadı.
