Menjawab panggilan suara di Telegram untuk Android ternyata pernah cukup untuk membuka jalan bagi penyerang menjalankan kode di ponsel korban. NebuSec, perusahaan rintisan keamanan yang didukung Y Combinator, mengungkap celah itu pada 29 Oktober 2026. Telegram sudah menutup bug-nya di versi 12.10.4, tetapi ponsel yang belum diperbarui masih berisiko.
Apa yang diungkap NebuSec
Menurut CEO NebuSec yang dikutip The Hacker News, celah ini ada di Telegram untuk Android versi 8.6.2 sampai 12.10.3. Serangan membutuhkan dua syarat: korban dihubungi lewat panggilan suara, lalu korban menjawabnya. NebuSec mengonfirmasi celah ini pada ponsel berarsitektur ARM64. Perusahaan itu belum menemukan bukti bahwa iOS, aplikasi desktop, atau panggilan grup ikut terdampak.
Cybernews melaporkan bug ini lolos selama sekitar empat tahun, dan NebuSec memakai model GPT-5.4 dari OpenAI untuk menemukannya. Tim yang sama mendemonstrasikan pengambilalihan ponsel setelah panggilan dijawab. Kami tidak memuat rincian teknisnya di sini.
NebuSec melaporkan temuannya ke Telegram pada 26 September 2026. Telegram mengakui laporan itu, tetapi tidak menilai celahnya bisa berujung eksekusi kode jarak jauh. Akibatnya Telegram tidak menerbitkan nomor CVE dan tidak membayar bounty. NebuSec menyebut belum ada serangan nyata yang mereka lihat, dan sampai berita ini ditulis tidak ada nomor CVE untuk celah ini. Seluruh klaim dampak masih berasal dari NebuSec.
Versi yang terdampak dan perbaikannya
Telegram merilis perbaikan di versi 12.10.4 pada akhir September 2026. Pustaka panggilan bersama Telegram, tgcalls, juga menerima koreksi yang sama pada 21 April 2026, menurut The Hacker News. Pengguna yang masih memakai 12.10.3 ke bawah, termasuk pemilik ponsel yang jarang membuka pembaruan aplikasi, berada dalam rentang yang terdampak.
Kasus ini mengingatkan pada celah panggilan lain di Android yang kami bahas sebelumnya, ketika satu pesan cacat bisa mengganggu proses telepon. Bedanya, bug Telegram ini ada di aplikasi, sehingga pembaruan lewat toko aplikasi sudah cukup untuk menutupnya.
Langkah yang perlu Anda ambil
Buka Telegram, masuk ke Pengaturan, lalu lihat nomor versi di bagian bawah halaman. Jika angkanya di bawah 12.10.4, perbarui aplikasi lewat Google Play atau toko aplikasi yang Anda pakai. Anda juga bisa mengubah privasi panggilan menjadi “Tidak ada” agar tidak ada orang asing yang bisa menelepon, dan menolak panggilan dari nomor yang tidak dikenal.
Telegram dipakai luas di Indonesia, dari grup komunitas sampai kanal jual beli. Memeriksa versi aplikasi hari ini jauh lebih murah daripada mengurus ponsel yang sudah dikuasai orang lain.
Sumber: The Hacker News dan Cybernews. Gambar: The Hacker News.