Falha no Telegram para Android deixava invadir o celular com uma ligação: veja como atualizar e se proteger

🔥 Ofertas de tecnologia todo dia no WhatsApp +4.641 pessoas Entrar no grupo

Uma falha no Telegram para Android permitia que um invasor rodasse código no celular da vítima só porque ela atendeu uma chamada de voz. A correção já existe: basta ter o Telegram na versão 12.10.4 ou mais nova. Abaixo eu explico o que aconteceu, quem foi afetado e como conferir e atualizar o app em menos de um minuto.

O que é a falha no Telegram para Android

A falha no Telegram foi divulgada em 29 de outubro pela NebuSec, uma startup de segurança apoiada pela aceleradora Y Combinator. Segundo a empresa, o problema estava no código das chamadas de voz do app para Android. Bastava a vítima atender a ligação para o ataque começar.

O defeito ficava no trecho que lê as mensagens de “estado de mídia” trocadas durante a chamada (se o vídeo está ligado, se a tela está sendo compartilhada, a rotação da câmera). Quando chegava uma mensagem sem todos os campos esperados, o app acessava uma área da memória que não devia. Em programação, isso abre espaço para o atacante executar comandos no aparelho.

Para o ataque funcionar, o criminoso precisava só de uma conta comum no Telegram. Não era preciso ter acesso ao celular antes nem nenhum privilégio especial. É por isso que a falha no Telegram chamou tanta atenção: o único gesto da vítima era atender uma ligação, algo que todo mundo faz sem pensar.

Como seria o controle total do celular

De acordo com o The Hacker News, a NebuSec encadeou essa falha no Telegram com outras duas: um vazamento de informação e uma brecha para ganhar acesso de administrador (root) no Android. Juntas, elas dariam controle total do aparelho. No vídeo de demonstração, o celular sai do Telegram, volta para a tela inicial e mostra a mensagem “HACKED BY NEBUSEC”.

▶ Veja mais tutoriais como este em nosso canal no YouTube +600 mil inscritos Inscrever-se

Vale um cuidado aqui: até a divulgação, a NebuSec não tinha publicado o relatório técnico completo, e o vídeo não mostra as versões do Telegram e do Android usadas. Ou seja, pesquisadores de fora ainda não conseguiram confirmar a cadeia inteira. Mesmo assim, a correção no código do app é pública e qualquer um pode conferir.

Quem foi afetado pela falha no Telegram

Segundo a NebuSec, foram afetadas as versões do Telegram para Android da 8.6.2 até a 12.10.3, lançadas entre março de 2022 e setembro de 2026. São mais de quatro anos de versões, então muita gente que não atualiza o app com frequência pode estar com uma delas.

• Afetado: Telegram para Android da versão 8.6.2 até a 12.10.3, em chamadas de voz privadas (de pessoa para pessoa).
• Confirmado em: celulares com processador ARM64, que é o caso da grande maioria dos Android vendidos hoje.
• Sem evidência de risco: Telegram para iPhone, Telegram para PC (Windows, macOS e Linux) e chamadas em grupo.
• Corrigido: Telegram para Android 12.10.4, lançado no fim de setembro, e todas as versões mais novas.

A empresa também disse que não viu a falha no Telegram sendo usada em ataques reais. Isso é uma boa notícia, mas não é motivo para deixar para depois: agora que o problema virou público, quem ainda usa uma versão antiga fica mais exposto.

O que é o Telegram 12.10.4 e por que ele resolve

O Telegram 12.10.4 é a versão do app para Android que trouxe a correção. Como o código do Telegram é aberto, a correção da falha no Telegram pode ser verificada por qualquer pessoa. O código fica publicado no GitHub, e dá para comparar as duas versões. Na 12.10.3, o app lia o campo de estado do vídeo mesmo quando ele não vinha na mensagem; na 12.10.4, ele passa a conferir se o campo existe antes de usar.

Segundo o The Hacker News, uma correção equivalente já tinha entrado na biblioteca de chamadas do Telegram (a tgcalls) em 21 de abril de 2026, e a versão para iPhone e para PC recebeu o ajuste antes da versão de Android. A NebuSec diz que avisou o Telegram em 26 de setembro, quando a 12.10.4 já tinha saído.

Também segundo a NebuSec, o Telegram reconheceu o relato, mas não considerou que o defeito pudesse virar execução remota de código. Por isso, a falha no Telegram não ganhou um código CVE (o número usado para catalogar falhas de segurança) até a data da divulgação. Para você, o que importa é simples: a versão 12.10.4 ou mais nova já tem o código corrigido.

Como atualizar o Telegram no Android agora

Atualizar o Telegram é o que resolve de verdade a falha no Telegram. Se o seu app veio da Google Play, siga estes passos:

1. Abra a Google Play no celular.
2. Toque na sua foto, no canto de cima, e entre em Gerenciar apps e dispositivo.
3. Toque em Atualizações disponíveis e procure o Telegram na lista.
4. Toque em Atualizar. Se o botão for Abrir, o app já está na versão mais nova.

Se preferir, abra direto a página oficial do Telegram na Google Play e toque em Atualizar. Instalou o app pelo site telegram.org (o APK)? Nesse caso, a atualização é feita pelo próprio app ou baixando a versão nova no site oficial.

Como conferir a versão do Telegram

1. Abra o Telegram e toque no menu (as três linhas no canto de cima).
2. Entre em Configurações.
3. Role a tela até o fim: a versão do app aparece escrita lá embaixo.

Se aparecer 12.10.4 ou um número maior (por exemplo, 12.11 ou 13), você está protegido contra essa falha no Telegram. Se aparecer 12.10.3 ou menor, atualize antes de atender qualquer nova chamada pelo app.

Proteção extra para as chamadas do Telegram

Além de atualizar, eu recomendo limitar quem pode fazer chamadas do Telegram para você. A própria NebuSec cita essa configuração como forma de bloquear o ataque, porque ele depende de a vítima receber e atender a ligação.

1. No Telegram, abra Configurações e toque em Privacidade e Segurança.
2. Toque em Chamadas.
3. Em “Quem pode me ligar?”, escolha Meus contatos ou Ninguém (o nome pode variar um pouco conforme a versão).

Com “Meus contatos”, só quem está na sua agenda consegue ligar. Com “Ninguém”, as chamadas param de chegar, e você ainda pode criar exceções para pessoas de confiança. Isso fecha a porta usada pela falha no Telegram. Também vale a regra de ouro: não atenda chamada de voz do Telegram de número ou conta que você não conhece. Se as ligações estranhas também chegam pela linha normal, veja como bloquear números desconhecidos no Android e no iPhone.

O que fazer se você atendeu uma chamada estranha

Não há sinal de que a falha no Telegram tenha sido usada contra usuários comuns, então não precisa entrar em pânico. Mas, se você atendeu uma ligação esquisita de um desconhecido pelo Telegram e o celular começou a se comportar de forma estranha (fechou apps sozinho, ficou lento, mostrou propaganda do nada), siga esta ordem:

• Atualize o Telegram e o Android, nas configurações do sistema, em Atualização de software.
• Rode uma verificação com o Google Play Protect, dentro da Google Play.
• Troque a senha da sua conta Google e ative a verificação em duas etapas no Telegram (Configurações, Privacidade e Segurança, Verificação em duas etapas).
• Em último caso, siga meu passo a passo de como remover vírus do celular sem perder seus dados.

Corrigida a falha no Telegram, aproveite para revisar outras configurações do aparelho. No guia sobre configurações para proteger a privacidade no Android, eu mostro ajustes rápidos que fecham várias portas usadas por criminosos. E fique de olho nos golpes por mensagem, como o golpe da TIM no WhatsApp que diz que seu CPF está bloqueado.

Conclusão: atualize o Telegram hoje

A falha no Telegram para Android era séria no papel, porque bastava atender uma ligação, mas a correção já está disponível há semanas. Minha recomendação é direta: confira a versão, atualize o Telegram para a 12.10.4 ou mais nova e limite as chamadas a “Meus contatos”. São dois minutos que deixam o seu celular bem mais seguro.

Fontes: The Hacker News e Mundo Conectado.

Perguntas frequentes

Fontes: The Hacker News · Mundo Conectado · GitHub do Telegram (código-fonte)