Bastaba con responder a una llamada de Telegram, y el arreglo salió un mes antes de que nadie lo contara

El atacante no necesitaba nada especial: una cuenta corriente de Telegram y un número al que llamar. Si contestabas, un fallo en el código que gestiona las llamadas de voz hacía el resto. La empresa de seguridad NebuSec informó del problema a Telegram el 26 de septiembre y lo hizo público el 29 de octubre, cuando el arreglo llevaba un mes distribuyéndose sin ruido.

El fallo está en la biblioteca tgcalls de Telegram, en la parte que lee los mensajes MediaState, esas pequeñas actualizaciones que una llamada envía sobre micrófono, cámara y rotación de vídeo. Si se omite un campo opcional, el analizador lee más allá de los datos válidos, en memoria que no le corresponde. Por sí solo eso es un cierre inesperado. Encadenado con una fuga de información y un exploit de root para Android, NebuSec dice que entrega el teléfono al atacante: mensajes, micrófono, cámara. Está afectado todo desde la 8.6.2, de marzo de 2022, hasta la 12.10.3, casi cuatro años de versiones.

La postura de Telegram es que el informe no demostró una ejecución remota de código funcional, por lo que no se asignó CVE ni se pagó recompensa. El arreglo entró igualmente en la 12.10.4. Nadie ha visto esto usado contra personas reales.

Si tienes Telegram en un móvil Android, abre Ajustes y mira el número de versión al final; cualquier cosa por debajo de 12.10.4 necesita una actualización desde Play Store. Ya que estás, en Privacidad y seguridad puedes limitar quién puede llamarte, lo que cierra la puerta en lugar de remendar la cerradura. En el PC, la comprobación de actualizaciones de aplicaciones de Tendvane funciona con winget y te dirá si Telegram Desktop y el resto de tus programas instalados se han quedado atrás.