NebuSec: Telegram Android'de Aramayı Açmak Kod Çalıştırmaya Yetiyordu

Güvenlik şirketi NebuSec, Telegram'ın Android uygulamasında, sıradan bir Telegram hesabından gelen sesli arama yanıtlandığında saldırganın telefonda kod çalıştırabilmesine (kendi komutlarını çalıştırabilmesine) yol açabilen bir açık bulduğunu 29 Ekim 2026'da açıkladı. Telegram'ın yayımladığı kaynak koduna göre ilgili hata Android uygulamasının 12.10.4 sürümünde düzeltildi. Telegram ise raporların çalışan bir uzaktan kod çalıştırma zinciri göstermediğini söylüyor. 12.10.4 öncesi bir sürüm kullananlar için korunmanın temel yolu uygulamayı güncellemek.

Açık nasıl tetikleniyordu

NebuSec'in kurucu ortağı ve CEO'su Eten Zou'nun The Hacker News'e verdiği bilgiye göre saldırganın açığı tetiklemesi için sıradan bir Telegram hesabı yetiyordu. Saldırgan hedefi sesli aramayla arıyor; açık, kullanıcı aramayı yanıtladığında devreye giriyordu; Zou'ya göre aramayı reddetmek saldırıyı engelliyor. NebuSec'e göre bu açık bir bilgi sızdırma hatasıyla birleştiğinde Telegram uygulamasından Android'e geçilebiliyor; zincire bir Android root (Android'de en yüksek yetki) açığı eklendiğinde ise telefonun mesajları, kamerası ve mikrofonu dahil tam kontrolü ele alınabiliyordu. Zincirin diğer iki halkası hakkında ayrıntı ya da teknik yazı yayımlanmadı; zincir şirketin videosuna ve açıklamalarına dayanıyor.

NebuSec'e göre hata, görüşme sırasında taraflar arasında gidip gelen mikrofon, kamera ve görüntü yönü bilgilerini okuyan kodda bulunuyordu; kod eksik alanları doğru işlemiyor ve erişmemesi gereken belleğe erişiyordu. Telegram'ın GitHub'da yayımladığı kaynak kodunda, 24 Eylül 2026 tarihli 12.10.4 sürümünde bu kod bölümünde bir düzeltme görülüyor.

Kimler risk altında

NebuSec'in verdiği bilgilere göre açığın kapsamı şöyle:

• Android uygulamasında 8.6.2 ile 12.10.3 arasındaki sürümleri kullanan cihazlar açık kapsamında bulunuyor.
• NebuSec açığı ARM64 işlemcili telefonlarda bire bir (özel) sesli aramalarda doğruladı.
• Şirketin, açığın Telegram'ın iOS ve masaüstü uygulamalarını ya da grup aramalarını doğrudan etkilediğine dair şu ana kadar kanıtı yok.
• Telegram'ın yayımladığı kaynak koduna göre üç uygulamanın ortak kullandığı arama kütüphanesindeki aynı düzeltme iOS'a Mayıs 2026'da (12.7), masaüstüne Temmuz 2026'da (7.0.1), Android'e ise Eylül 2026'da 12.10.4 ile girdi.

Telegram ne diyor

NebuSec, açığı 26 Eylül 2026'da, 12.10.4 sürümü yayımlandıktan sonra Telegram'a bildirdi. Zou'nun aktardığına göre Telegram raporu aldığını bildirdi ancak hatanın uzaktan kod çalıştırmaya dönüştürülebileceğini düşünmedi; bu nedenle açığa CVE (açıklara verilen uluslararası takip numarası) atanmadı ve ödül ödenmedi.

Telegram sözcüsü Remi Vaughn'un 30 Ekim 2026'da SQ Magazine'e gönderdiği açıklamaya göre şirket bu hatayla ilgili bir raporu Ağustos'ta almış ve açığı NebuSec'in bildiriminden önce kapatmıştı. Açıklamada, raporlardan hiçbirinin çalışan bir uzaktan kod çalıştırma zinciri göstermediği belirtiliyor. Telegram'ın yayımladığı bir güvenlik bülteni 1 Kasım 2026 itibarıyla bulunmuyor.

Türkiye açısından

Güvenlik açığı coğrafi bir ayrıma değil, yüklü olan yazılım sürümüne dayanıyor. Türkiye'de Android cihazında Telegram kullanan ve uygulamasını 12.10.4 öncesi bir sürümde bırakan kullanıcılar açığın kapsamında bulunuyor. 1 Kasım 2026 itibarıyla Siber Güvenlik Başkanlığı (SGB) tarafından yayımlanan bildirimler arasında bu gelişmeye dair özel bir kayıt bulunmuyor ve Türkiye'den etkilenen bir kullanıcı bildirilmedi. Mobil cihaz güvenliği alanında benzer bir emsal olarak, daha önce Android telefonları çökertebilen tek SMS açığı da gündeme gelmişti.

Ne yapmalısınız

• Telegram uygulamasını Google Play üzerinden en son sürüme güncelleyin.
• Uygulama sürümünü kontrol etmek için Ayarlar sekmesinin en alt bölümüne bakın ve numaranın 12.10.4 veya daha üstü olduğunu doğrulayın.
• Güncelleyene kadar Telegram'ın gizlilik ayarlarındaki arama iznini «Hiç kimse» olarak belirleyin; Zou'ya göre bu ayar saldırıyı engelliyor.
• Bilinmeyen hesaplardan gelen sesli aramaları yanıtlamayın.
• Kurumlar mobil cihaz yönetim panellerinden org.telegram.messenger paketinin güncelliğini denetleyebilir.

Açığın CVE numarası ya da önem puanı bulunmuyor. NebuSec, açığın gerçek saldırılarda kullanıldığını görmediğini söylüyor; şirketin teknik yazısı henüz yayımlanmadı.

Kaynaklar

• NebuSec — Telegram Android açığı duyurusu ve demo videosu (X, 29 Ekim 2026)
• Telegram — Android kaynak kodu, 12.10.4 (7099) sürümü (GitHub, 24 Eylül 2026)
• The Hacker News — Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls (29 Ekim 2026)
• SQ Magazine — Telegram Android Call Flaw: NebuSec Claims Code Execution (Telegram açıklaması, 30 Ekim 2026)

Kapak görseli (temsili): «Usando Telegram» — Ulises Hernandez Pino / Corporación ApropiACYT, CC BY 2.0, Wikimedia Commons (ekrandaki kişi adları bulanıklaştırıldı, 1200×675 küçültüldü).