สรุปสั้น

สติกเกอร์เคลื่อนไหวของ Telegram ถูกถอดรหัสและวาดบนจอด้วยไลบรารีโอเพนซอร์สชื่อ rlottie ซึ่งทำงานทันทีที่ข้อความมาถึงโดยผู้ใช้ไม่ต้องกดอะไร จึงเป็นพื้นที่เสี่ยงต่อการโจมตีแบบ zero-click คือ การโจมตีที่เหยื่อไม่ต้องคลิกหรือเปิดไฟล์เลย ล่าสุดนาย Saifeldeen Aziz นักวิจัยความปลอดภัย อ้างว่าพบช่องโหว่ zero-click ชุดใหม่ในระบบสติกเกอร์ของ Telegram และร้อยต่อกันจนรันโค้ดบน Telegram for iOS ได้ เขามีกำหนดนำผลงานไปบรรยายที่งาน OffensiveCon ในกรุงโตเกียวเมื่อวันที่ 28 ตุลาคม 2569 โดยระบุว่าผ่านการตรวจฝั่งเซิร์ฟเวอร์ของ Telegram ได้ และโค้ดที่มีปัญหายังอยู่ในแอปปัจจุบัน

คำอ้างนี้ท้าทายจุดยืนของ Telegram โดยตรง เมื่อเดือนมีนาคม Telegram ปัดตกรายงานบั๊กสติกเกอร์ของ Zero Day Initiative (ZDI) ว่าไม่มีอยู่จริง เพราะเซิร์ฟเวอร์ตรวจสติกเกอร์ทุกชิ้นก่อนแอปจะเล่นได้ ต่อมา ZDI เผยแพร่ช่องโหว่ดังกล่าวเป็น CVE-2026-111105 ใน rlottie เมื่อ 15 ตุลาคม โดยยังไม่มีแพตช์ ทั้งนี้บทคัดย่อของนาย Aziz ยังไม่มีหลักฐานเชิงเทคนิค สถานะแพตช์ หรือหมายเลข CVE ของบั๊กใหม่ จึงต้องถือเป็นคำอ้างที่ยังไม่ยืนยันจนกว่าจะมีรายละเอียดเต็ม ระหว่างนี้ผู้ใช้ควรอัปเดต Telegram ทุกแพลตฟอร์ม และจำกัดคนที่ส่งข้อความหรือเพิ่มตัวเองเข้ากลุ่มได้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่านาย Saifeldeen Aziz อ้างว่าพบช่องโหว่ zero-click ใหม่ในสติกเกอร์ของ Telegram และร้อยต่อจนรันโค้ดบน iOS ได้ ตามวาระของงาน OffensiveCon โตเกียว เขาจะบรรยายเรื่องนี้ในวันที่ 28 ตุลาคม บทคัดย่อระบุว่าเขาใช้เวลาศึกษา Telegram นาน 1 ปี และจะพูดถึงข้อจำกัดของ exploit นี้ด้วย

ข้อพิพาทเบื้องหลังเริ่มตั้งแต่ต้นปี ZDI ของบริษัท Trend Micro รายงานบั๊กในโค้ดสติกเกอร์ไปยัง Telegram ตามรายงานข่าว Telegram ตอบว่าบั๊กนี้ไม่มีอยู่จริง และเมื่อ 31 มีนาคมระบุว่าการตรวจฝั่งเซิร์ฟเวอร์บรรเทาปัญหาแล้ว ZDI จึงลดคะแนนความรุนแรงจาก 9.8 เหลือ 7.0 แต่นาย Michael DePlante นักวิจัยผู้รายงาน ยังยืนยันว่าโค้ดที่อ่อนแอยังอยู่ในแอปฝั่งผู้ใช้ หน่วยงานไซเบอร์แห่งชาติของอิตาลีก็ให้น้ำหนักกับรายงานนี้

ไทม์ไลน์หลังจากนั้นยืดเยื้อ กลางเดือนเมษายน Telegram ขอให้ ZDI ส่ง exploit chain ที่ใช้งานได้ครบชุด ซึ่ง ZDI มองว่าไม่ใช่แนวปฏิบัติปกติของการเปิดเผยช่องโหว่ เดือนกรกฎาคม ZDI แจ้ง Telegram ว่าจะเผยแพร่เป็น zero-day คือ ช่องโหว่ที่ยังไม่มีแพตช์ และวันที่ 15 ตุลาคม ZDI ออกประกาศ ZDI-26-757 ติดตามเป็น CVE-2026-111105

ด้านนาย Pasquale Pillitteri เคยแสดงว่าสติกเกอร์ขนาดเพียง 269 ไบต์ทำให้ Telegram แครชและล็อกห้องแชตได้ และชี้ว่าการกรองของเซิร์ฟเวอร์จับไม่ได้ทุกกรณี Telegram Desktop 7.2.7 แก้รูปแบบนั้นแล้ว ส่วนบทวิเคราะห์บน GitHub ย้อนว่าบริษัท Shielder เคยพบบั๊กหลายตัวใน rlottie เมื่อปี 2564 ซึ่งกระทบ Android, iOS และ macOS

ข้อจำกัดของหลักฐานยังมีมาก บทคัดย่อสาธารณะไม่มีหลักฐานเชิงเทคนิค ไม่บอกสถานะแพตช์ และไม่มีหมายเลข CVE ของบั๊กใหม่ ข้อมูลทั้งหมดของบั๊กชุดใหม่มาจากคำอ้างของผู้วิจัยเพียงฝ่ายเดียว ณ วันที่รายงานยังไม่มีคำชี้แจงจาก Telegram ต่อคำอ้างชุดนี้

รายละเอียดช่องโหว่

ทำไมสติกเกอร์จึงเป็นช่องทางโจมตี — สติกเกอร์เคลื่อนไหวของ Telegram ใช้รูปแบบไฟล์ TGS ซึ่ง คือ ไฟล์แอนิเมชัน Lottie ที่ถูกบีบอัด แอปจะส่งไฟล์นี้ให้ rlottie แตกและวาดบนจอโดยอัตโนมัติ ถ้า rlottie มีบั๊กหน่วยความจำ ไฟล์สติกเกอร์ที่สร้างมาเฉพาะจึงอาจทำให้แอปรันโค้ดของผู้โจมตีได้โดยเหยื่อไม่ต้องทำอะไร

CVE-2026-111105 ที่ ZDI เผยแพร่ — ช่องโหว่นี้เป็นบั๊กการตัดทอนตัวเลข (numeric truncation) ใน rlottie ข้อมูลนำเข้าที่ไม่ถูกต้องทำให้โปรแกรมเขียนข้อมูลลงตำแหน่งก่อนจุดเริ่มต้นของบัฟเฟอร์หน่วยความจำ ซึ่งอาจนำไปสู่การรันโค้ด ZDI ลดคะแนนจาก 9.8 เป็น 7.0 เพราะเชื่อตามคำอธิบายเรื่องการตรวจฝั่งเซิร์ฟเวอร์ และ ZDI แนะนำให้จำกัดการโต้ตอบกับผลิตภัณฑ์ระหว่างที่ยังไม่มีแพตช์

ห่วงโซ่ของนาย Aziz — ตามบทคัดย่อ เขาเริ่มจากการ fuzz rlottie โดยใช้ LLM ช่วย การ fuzz คือ การป้อนข้อมูลเสียจำนวนมหาศาลเพื่อดูว่าโปรแกรมพังตรงไหน วิธีนี้พบบั๊กหน่วยความจำหลายจุดในแอป iOS, Android และ Desktop จากนั้นเขาพบช่องโหว่เชิงตรรกะแยกต่างหากในวิธีที่ Telegram ส่งและตรวจสติกเกอร์ เมื่อร้อยรวมกัน โค้ดที่ควรเข้าถึงไม่ได้เพราะเซิร์ฟเวอร์กรองไว้ก็ถูกโจมตีได้ ขั้นสุดท้าย คือ การรันโค้ดบน Telegram for iOS

คำถามเชิงออกแบบ — นาย Aziz ตั้งคำถามว่า ถ้าเซิร์ฟเวอร์ของผู้ให้บริการรายเดียวเป็นด่านเดียวที่กันบั๊ก zero-click ไว้ สิ่งนั้นเป็นการแก้ไข เป็นความเสี่ยงเชิงออกแบบ หรือใกล้เคียงกับแบ็กดอร์ ประเด็น คือ ผู้ใช้ตรวจสอบไม่ได้ว่าเซิร์ฟเวอร์ทำอะไร ทำได้เพียงเชื่อใจ และถ้าเลี่ยงการกรองได้เพียงครั้งเดียว โค้ดที่มีบั๊กในแอปของผู้ใช้ทุกคนก็ยังรออยู่

ผลกระทบ

ผู้ที่อาจได้รับผลกระทบ คือ ผู้ใช้ Telegram ทุกแพลตฟอร์มที่ใช้ rlottie แสดงสติกเกอร์ ตามคำอ้างนั้นห่วงโซ่ที่ทำงานได้จริงอยู่บน iOS ส่วน Android และ Desktop พบบั๊กหน่วยความจำแต่ยังไม่มีข้อมูลว่าไปถึงขั้นรันโค้ด กลุ่มที่ควรกังวลที่สุด คือ บุคคลที่เป็นเป้าการสอดแนม เช่น นักข่าว นักกิจกรรม และเจ้าหน้าที่ที่ใช้ Telegram ติดต่องาน เพราะ exploit แบบ zero-click บนมือถือมักถูกใช้กับเป้าหมายมูลค่าสูง

ข่าวนี้ยังสะท้อนปัญหาเชิงโครงสร้าง ช่องโหว่ฝั่งแอปที่ผู้ผลิตเลือกพึ่งการกรองฝั่งเซิร์ฟเวอร์แทนการแก้โค้ด ทำให้ความปลอดภัยของผู้ใช้ขึ้นกับด่านเดียว ถ้าคำอ้างของนาย Aziz ได้รับการยืนยัน แรงกดดันให้ Telegram แก้โค้ดในแอปจะเพิ่มขึ้นมาก และช่วงก่อนแพตช์ออกจะเป็นช่วงที่ผู้ใช้เสี่ยงที่สุด นี่ยังเป็นปัญหาล่าสุดในชุดช่องโหว่ฝั่งแอปของ Telegram ช่วงนี้ ต่อจาก CVE-2026-107181 ใน Telegram Desktop ที่ขโมยไฟล์และยึดบัญชีได้ด้วยลิงก์ที่สร้างมาเฉพาะ (2026/10/067 )

คำแนะนำ

  • อัปเดต Telegram ทุกเครื่องเป็นเวอร์ชันล่าสุดทันที — ทั้ง iOS, Android และ Desktop และติดตามประกาศแพตช์ของ CVE-2026-111105 รวมถึงบั๊กชุดใหม่หลังการบรรยาย
  • จำกัดคนที่ติดต่อได้ — ตั้งค่า Privacy and Security ให้เฉพาะรายชื่อติดต่อส่งข้อความและเพิ่มเข้ากลุ่มได้ เพื่อลดโอกาสที่คนแปลกหน้าส่งสติกเกอร์อันตรายมา
  • ไม่เปิดไฟล์จากคนที่ไม่รู้จัก — และปิดการดาวน์โหลดสื่ออัตโนมัติในแชตกลุ่มที่ไม่จำเป็น
  • สำหรับบุคคลเสี่ยงสูง — พิจารณาเปิด Lockdown Mode บน iPhone และแยกอุปกรณ์ที่ใช้ Telegram ออกจากอุปกรณ์ที่เก็บข้อมูลงานสำคัญ
  • สำหรับองค์กร — ถ้าอนุญาต Telegram บนอุปกรณ์ที่บริหารจัดการ ให้ใช้ MDM บังคับอัปเดตเวอร์ชัน และประเมินว่าควรใช้ช่องทางสื่อสารอื่นสำหรับงานที่อ่อนไหวหรือไม่

แหล่งอ้างอิง