สรุปสั้น
Telegram กลายเป็นเป้าของนักวิจัยช่องโหว่อย่างต่อเนื่องในเดือนนี้ หลังมีการบรรยายเรื่องช่องโหว่สติกเกอร์บน iOS ที่งาน OffensiveCon ล่าสุดบริษัท NebuSec สตาร์ทอัปด้านความปลอดภัยที่ Y Combinator หนุน เปิดเผยเมื่อวันที่ 29 ตุลาคม 2569 ว่าพบช่องโหว่ใน Telegram สำหรับแอนดรอยด์ที่ผู้โจมตีใช้เพียงบัญชี Telegram ธรรมดาโทรหาเหยื่อ แล้วรันโค้ดในเครื่องเหยื่อได้ทันทีที่เหยื่อรับสาย บั๊กอยู่ในโค้ดที่อ่านข้อความสถานะระหว่างการโทร ซึ่งเข้าถึงหน่วยความจำผิดตำแหน่งเมื่อข้อความขาดบางฟิลด์ เมื่อร้อยกับบั๊กรั่วข้อมูลอีกตัวจะหลุดจากแอปออกไปถึงระบบแอนดรอยด์ และเมื่อเพิ่ม exploit ยกสิทธิ์ root จะคุมข้อความ ไมโครโฟน และกล้องได้ทั้งหมด
ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 8.6.2 ถึง 12.10.3 ซึ่งออกระหว่างมีนาคม 2565 ถึงกันยายน 2569 และ Telegram แก้แล้วในเวอร์ชัน 12.10.4 เมื่อปลายเดือนกันยายน แต่ Telegram ไม่เชื่อว่าบั๊กนี้ใช้รันโค้ดได้ จึงไม่ออก CVE และไม่จ่ายค่าหาบั๊ก NebuSec ยังไม่พบการโจมตีจริง และยังไม่มีรายงานเทคนิคฉบับเต็ม ผู้ใช้แอนดรอยด์ควรอัปเดต Telegram เป็น 12.10.4 ขึ้นไป และตั้งค่าความเป็นส่วนตัวการโทรเป็น “Nobody” ถ้าไม่จำเป็นต้องรับสายจากคนแปลกหน้า
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า นาย Eten Zou ผู้ร่วมก่อตั้งและซีอีโอของ NebuSec ระบุว่าบริษัทยืนยันช่องโหว่ได้ในการโทรเสียงแบบตัวต่อตัวบนมือถือ ARM64 และยังไม่มีหลักฐานว่าแอป Telegram บน iOS เดสก์ท็อป หรือการโทรแบบกลุ่มได้รับผลกระทบโดยตรง ไทม์ไลน์ คือ Telegram ออกเวอร์ชัน 12.10.4 ช่วงปลายกันยายน จากนั้น NebuSec รายงานช่องโหว่ให้ Telegram เมื่อ 26 กันยายน ซึ่งเป็นช่วงหลังแพตช์ออกแล้ว Telegram รับทราบรายงานแต่ไม่เชื่อว่าจะยกระดับเป็นการรันโค้ดได้
The Hacker News ตรวจซอร์สโค้ดที่ Telegram เผยแพร่และพบจุดที่ตรงกับคำอธิบาย ในเวอร์ชัน 12.10.3 เมื่อข้อความ MediaState มีค่าการหมุนภาพ โค้ดจะตรวจค่านั้น แล้วไปอ่านอีกฟิลด์หนึ่ง คือ สถานะวิดีโอ แม้ข้อความจะไม่มีฟิลด์นั้นอยู่ เวอร์ชัน 12.10.4 แก้ให้อ่านค่าการหมุนจากฟิลด์ที่ถูกต้อง ส่วนโค้ดการโทรที่ใช้ข้อความนี้เริ่มเปิดใช้ในเวอร์ชัน 8.6.2 ตรงกับเวอร์ชันแรกที่ NebuSec ระบุ ไลบรารีการโทรที่ใช้ร่วมกันทุกแพลตฟอร์มชื่อ tgcalls ได้รับการแก้แบบเดียวกันตั้งแต่ 21 เมษายน 2569 ในชื่อ “Fix camera rotation” โดยเข้าสู่ iOS ตั้งแต่เวอร์ชัน 12.7 (พฤษภาคม) และเดสก์ท็อปตั้งแต่ 7.0.1 (กรกฎาคม) แต่แอนดรอยด์เพิ่งได้รับในเวอร์ชัน 12.10.4 ยังไม่มีใครแสดงว่าโค้ดเก่าบนแอปอื่นถูกใช้โจมตีได้หรือไม่
ข้อจำกัดของหลักฐาน คือ ห่วงโซ่การโจมตีทั้งหมด รวมถึงบั๊กอีก 2 ตัว อ้างอิงจากวิดีโอสาธิตและคำบอกเล่าของบริษัทเท่านั้น วิดีโอแสดงมือถือเหยื่อรับสาย แล้วราวครึ่งนาทีต่อมาหน้าจอกลับสู่หน้าโฮม ไอคอนแอปร่วงลงและขึ้นโลโก้ “HACKED BY NEBUSEC” แต่ไม่บอกว่าเครื่องเหยื่อใช้ Telegram หรือแอนดรอยด์เวอร์ชันใด NebuSec ระบุว่าผลิตภัณฑ์ Code Security ของบริษัทที่ทำงานบนโมเดล GPT-5.4 ของ OpenAI เป็นตัวค้นพบช่องโหว่นี้ และเมื่อกรกฎาคมบริษัทเคยสาธิตห่วงโซ่ exploit แอนดรอยด์ที่เริ่มจาก Firefox จนถึงเคอร์เนล
รายละเอียดช่องโหว่
สาเหตุ: อ่านฟิลด์ที่ไม่มีอยู่จริง — ระหว่างการโทร แอป Telegram ทั้งสองฝั่งส่งข้อความสั้น ๆ หากันเพื่อตั้งค่าและรายงานสถานะ ข้อความประเภท MediaState บอกว่าไมโครโฟนปิดหรือเปิด กล้องเปิดหรือไม่ และวิดีโอหมุนกี่องศา โค้ดอ่านข้อความนี้จัดการกรณีฟิลด์หายไม่ถูกต้อง จึงเข้าถึงหน่วยความจำส่วนที่ไม่ควรเข้าถึง ผู้โจมตีที่ควบคุมฝั่งผู้โทรจึงส่ง MediaState ที่จงใจตัดฟิลด์เพื่อทำให้หน่วยความจำในแอปเหยื่อเสียหายได้
เงื่อนไข — ผู้โจมตีต้องมีบัญชี Telegram ปกติ และเหยื่อต้องรับสาย การปฏิเสธสายหรือตั้งค่าการโทรเป็น “Nobody” จึงบล็อกการโจมตีได้ เวอร์ชันที่กระทบ คือ Telegram สำหรับแอนดรอยด์ 8.6.2 ถึง 12.10.3 บนมือถือ ARM64 ในการโทรตัวต่อตัว และไม่มี CVE ณ วันที่ 29 ตุลาคม
ห่วงโซ่สู่การยึดเครื่อง — ตามคำอธิบายของ NebuSec บั๊ก MediaState ร้อยกับบั๊กรั่วข้อมูลเพื่อหลุดจากแอปไปยังระบบแอนดรอยด์ แล้วจึงใช้ exploit root ของแอนดรอยด์ยึดเครื่องทั้งหมด
ช่องโหว่ rlottie ที่เกี่ยวข้อง — แยกจากบั๊กนี้ Zero Day Initiative (ZDI) ออกประกาศเมื่อ 15 ตุลาคมเรื่องช่องโหว่ที่ยังไม่แพตช์ใน rlottie ไลบรารีวาดสติกเกอร์เคลื่อนไหว ติดตามเป็น CVE-2026-111105 คะแนน CVSS 7.0 ซึ่งเปิดให้รันโค้ดเมื่อผู้ใช้เปิดไฟล์หรือหน้าที่สร้างมาเฉพาะ Telegram เคยตอบ ZDI ว่าการตรวจฝั่งเซิร์ฟเวอร์ลดความเสี่ยงไว้แล้ว แต่นาย Saifeldeen Aziz แสดงที่งาน OffensiveCon ว่าข้ามการตรวจนั้นได้บน iOS (ดู 2026/10/320 ) ฝั่งแอนดรอยด์เปลี่ยนจาก rlottie ไปใช้ tlottie ที่เขียนด้วย Rust ระหว่างเวอร์ชัน 12.8.1 ถึง 12.10.0 แล้ว
ผลกระทบ
กลุ่มที่เสี่ยงที่สุด คือ ผู้ใช้ Telegram บนแอนดรอยด์ที่ยังไม่อัปเดตและเปิดให้คนแปลกหน้าโทรเข้าได้ โดยเฉพาะนักข่าว นักเคลื่อนไหว และเจ้าหน้าที่ที่ใช้ Telegram ติดต่องาน ซึ่งเป็นเป้าของสปายแวร์เชิงพาณิชย์ หากห่วงโซ่ทำงานได้ตามที่อ้าง ผู้โจมตีจะเข้าถึงข้อความ ไมโครโฟน และกล้องได้ทั้งหมดโดยเหยื่อทำเพียงรับสาย
ขนาดของปัญหาอยู่ที่ช่วงเวลา เวอร์ชันที่กระทบครอบคลุมเกือบ 4 ปีครึ่ง และการที่ Telegram ไม่ออก CVE ทำให้เครื่องมือจัดการช่องโหว่ในองค์กรมองไม่เห็นความเสี่ยงนี้ อย่างไรก็ดี ยังไม่มีการโจมตีจริงและยังไม่มีการเผยแพร่โค้ด exploit ความเร่งด่วนจึงอยู่ที่การตรวจให้ทุกเครื่องอยู่บนเวอร์ชันที่แก้แล้ว
คำแนะนำ
- อัปเดต Telegram สำหรับแอนดรอยด์เป็นเวอร์ชัน 12.10.4 ขึ้นไปทันที ตรวจเลขเวอร์ชันได้ที่ด้านล่างของหน้า Settings
- ตั้งค่า Privacy and Security > Calls เป็น “Nobody” หรือ “My Contacts” เพื่อตัดช่องทางโทรจากบัญชีแปลกหน้า และปฏิเสธสายจากผู้ที่ไม่รู้จัก
- องค์กรที่ใช้ MDM ให้ตั้งเวอร์ชันขั้นต่ำของแอป Telegram ไว้ที่ 12.10.4 เพราะเครื่องมือสแกนช่องโหว่ที่อิง CVE จะไม่แจ้งเตือนกรณีนี้
- บุคลากรที่มีความเสี่ยงสูงควรเปิด Advanced Protection หรือ Lockdown Mode ของระบบปฏิบัติการ และอัปเดตแพตช์ความปลอดภัยแอนดรอยด์ให้ล่าสุด เพื่อปิดขั้นยกสิทธิ์ root ในห่วงโซ่
- ติดตามรายงานเทคนิคฉบับเต็มของ NebuSec และท่าทีของ Telegram เพื่อประเมินซ้ำว่าแอป iOS และเดสก์ท็อปรุ่นเก่ามีความเสี่ยงหรือไม่