Perusahaan rintisan keamanan NebuSec mengungkap celah di Telegram untuk Android pada 29 Oktober 2026. Menurut NebuSec, penyerang yang hanya punya akun Telegram biasa bisa menelepon korban, dan kode berbahaya berjalan di ponsel korban begitu panggilan dijawab. Telegram belum menerbitkan advisori atau pernyataan publik soal temuan ini.
Apa yang ditemukan NebuSec
Selama panggilan, aplikasi di kedua sisi saling bertukar pesan pendek, termasuk pesan MediaState yang melaporkan status mikrofon, kamera, dan rotasi video. Kode yang membaca pesan itu tidak menangani bidang opsional yang hilang dengan benar, sehingga mengakses memori yang seharusnya tidak disentuh. The Hacker News, yang menelaah kode sumber Telegram 12.10.3, menemukan nilai rotasi diperiksa, tetapi kolom status video tetap dibaca walau tidak ada. Versi 12.10.4 membaca rotasi dari kolom yang benar.
NebuSec mengaku menemukan celah ini memakai produk Code Security miliknya yang berjalan di model GPT-5.4 milik OpenAI. Perusahaan itu mengonfirmasi eksekusi kode pada panggilan pribadi di ponsel ARM64 dan memperlihatkannya lewat video demonstrasi. Detail jalur eksploitasi belum dipublikasikan.
Siapa yang terdampak dan apa yang belum jelas
Telegram untuk Android versi 8.6.2 sampai 12.10.3, yang dirilis antara Maret 2022 dan September 2026, terdampak. Belum ada nomor CVE maupun skor CVSS. Menurut laporan The Hacker News, NebuSec tidak punya bukti bahwa iOS, aplikasi desktop, atau panggilan grup ikut terdampak. Perbaikan serupa sudah masuk ke pustaka tgcalls pada 21 April 2026 dan muncul di Telegram iOS 12.7 serta desktop 7.0.1, tetapi apakah versi itu pernah rentan belum terbukti.
Sampai kini belum ada laporan eksploitasi di dunia nyata, dan The Hacker News menyebut NebuSec maupun Telegram belum menjawab pertanyaan soal itu. Untuk konteks, Kabar Techku sebelumnya membahas spyware uCreator yang mengincar akun Telegram lewat aplikasi modifikasi, yang memakai jalur serangan berbeda.
Langkah yang perlu diambil
Perbarui Telegram untuk Android ke versi 12.10.4 atau lebih baru lewat Google Play. Versi terpasang tertera di bagian bawah halaman Pengaturan aplikasi. Tim TI yang mengelola banyak ponsel bisa memeriksa versi paket org.telegram.messenger lewat alat MDM. Menolak panggilan dari akun asing mengurangi peluang pemicu, tetapi itu bukan pengganti tambalan dan bukan panduan resmi Telegram.
Bagi pengguna Indonesia yang memakai Telegram untuk pekerjaan atau komunitas, pembaruan ini hanya butuh beberapa menit dan layak dilakukan hari ini, terutama bila ponsel menerima panggilan dari nomor yang tidak dikenal.
Sumber: The Hacker News dan Ostorlab. Gambar: The Hacker News.