Una falla de Telegram para Android permitía tomar el control del teléfono con una llamada de voz

Afecta de la versión 8.6.2 a la 12.10.3. Telegram la corrigió en la 12.10.4, publicada a finales de septiembre, y NebuSec la reveló el 29 de octubre.

Una falla en Telegram para Android podía combinarse con otros dos errores para tomar el control completo del teléfono de una víctima mediante una llamada de voz, una vez que esta contestaba. Lo reveló la empresa de seguridad NebuSec, informó The Hacker News el 29 de octubre de 2026.

Al atacante le bastaba una cuenta normal de Telegram. Junto con un error que filtra información, la falla le permite salir de la app hacia Android, explicó Eten Zou, cofundador y CEO de NebuSec. Si se suma un exploit de root de Android, obtiene el control del teléfono, incluidos los mensajes, el micrófono y la cámara.

La falla está en todas las versiones de la 8.6.2 a la 12.10.3. Telegram la corrigió en la versión 12.10.4. NebuSec la confirmó en llamadas privadas en teléfonos con procesadores ARM64 y no tiene evidencia de que afecte a las apps de iOS, de escritorio o a las llamadas grupales.

La empresa no ha visto que se use en ataques reales. Según Zou, Telegram reconoció el reporte, pero no creyó que la falla permitiera ejecutar código a distancia, así que no se asignó un identificador CVE ni se pagó recompensa.

Los usuarios de Android deben revisar que tienen la versión 12.10.4 o posterior. Como el ataque necesita que la víctima conteste, configurar la privacidad de llamadas en «Nadie» o rechazar la llamada lo bloquea.

Fuente: The Hacker News: «Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls», 29 de octubre de 2026.