--- title: "Telegram Android'de açık: Sesli arama yanıtlandığında kod çalıştırılabiliyor" url: "https://teknotayf.com/haber/telegram-android-de-acik-sesli-arama-yanitlandiginda-kod-calistirilabiliyor" markdown_url: "https://teknotayf.com/haber/telegram-android-de-acik-sesli-arama-yanitlandiginda-kod-calistirilabiliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-29 14:39:18" updated: "2026-10-30 04:02:36" category: "Siber Güvenlik" tags: ["Mobil Güvenlik","Uzaktan Kod Çalıştırma","Android Güvenlik","Telegram Açığı","NebuSec"] source: "The Hacker News" --- # Telegram Android'de açık: Sesli arama yanıtlandığında kod çalıştırılabiliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/telegram-android-de-acik-sesli-arama-yanitlandiginda-kod-calistirilabiliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Güvenlik girişimi NebuSec, Telegram Android'de bulunan bir açığın iki başka hata ile zincirlenerek sesli arama yanıtlandığında telefonun tam kontrolünü ele geçirebileceğini açıkladı. Açık 8.6.2'den 12.10.3'e kadar sürümleri etkiliyor ve Telegram sorunu 12.10.4 sürümüyle kapattı. - **Yayın tarihi:** 2026-10-29 14:39 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Mobil Güvenlik, Uzaktan Kod Çalıştırma, Android Güvenlik, Telegram Açığı, NebuSec - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/telegram-android-flaw-lets-attackers.html) ![Telegram Android'de açık: Sesli arama yanıtlandığında kod çalıştırılabiliyor](https://teknotayf.com/assets/uploads/2026/10/4736582f1d2454dcc97631e18575a884.jpg) Swati Khandelwal **29 Ekim 2026** Açıklık / Mobil Güvenlik Güvenlik girişimi NebuSec'e göre **Telegram Android**'de bulunan bir açık, iki başka hatayla zincirlenerek kurbanın sesli aramayı yanıtlamasıyla telefonun tam kontrolünü ele geçirebiliyor. Saldırganın yalnızca sıradan bir Telegram hesabına ihtiyacı var. Telegram açığı uygulamanın **12.10.4** sürümünde, eylül sonu itibarıyla yayınlandı ve NebuSec bunu 29 Ekim'de açıkladı. Bilgi sızıntısı açığıyla birleştiğinde hata, saldırgana Telegram uygulamasından Android'e çıkış imkanı veriyor; NebuSec'in kurucusu ve CEO'su Eten Zou The Hacker News'e söyledi. Android root istismarı eklenince telefonun mesajları, mikrofonu ve kamerası dahil tam kontrol sağlanıyor. Açık 8.6.2'den 12.10.3'e kadar her sürümde tetiklenebiliyor, Zou söyledi. Bu sürümler mart 2022 ile eylül 2026 arasında çıktı. Şirket açığı ARM64 tabanlı telefonlarda özel sesli aramalarda doğruladı ve şimdiye kadar Telegram'ın iOS ve masaüstü uygulamalarını ya da grup aramalarını doğrudan etkilediğine dair kanıtı yok. Telegram Android kullanan herkes uygulamanın 12.10.4 veya daha yeni sürümde olduğundan emin olmalı. Sürüm numarası uygulamanın Ayarlar sayfasının altında görünüyor. Açığın 29 Ekim itibarıyla CVE tanımlayıcısı yok. Saldırının gerçekleşmesi için kurbanın aranması ve aramayı yanıtlaması gerekiyor, Zou söyledi, bu yüzden Telegram'ın arama gizlilik seçeneğini "Kimse" olarak ayarlamak engelliyor, aramayı reddetmek de. NebuSec açığın gerçek saldırılarda kullanıldığına şahit olmadı ve başka kimsenin uzaktan kod çalıştırmaya dönüştürebileceğini fark etmediğine inanıyor. NebuSec açığı 26 Eylül'de, 12.10.4 sürümü yayınlandıktan sonra Telegram'a bildirdi. Telegram raporu kabul etti ancak açığın uzaktan kod çalıştırmaya dönüştürülebileceğine inanmadı, bu yüzden CVE atanmadı ve hata ödülü ödenmedi, Zou söyledi. The Hacker News yorum için Telegram'a ulaştı. Telegram araması sırasında iki uygulama aramayı kurmak ve durumunu bildirmek için birbirine kısa mesajlar gönderiyor. MediaState adı verilen bir tür, mikrofonun sessiz olup olmadığını, kameranın açık olup olmadığını ve videonun nasıl döndürüldüğünü bildiriyor. Açık MediaState mesajlarını okuyan koddaydı. Bu kod eksik alanları doğru işlemedi ve erişmemesi gereken belleğe erişti, NebuSec'e göre. The Hacker News'in incelemesi, Telegram'ın 12.10.3 sürümü için yayınlanan kaynak kodunun bu açıklamaya uyan bir açık içerdiğini buldu. MediaState mesajı bir döndürme değeri içerdiğinde kod bu değeri kontrol ediyordu. Ardından mesajda böyle bir alan olmasa bile video durumunu okuyordu. 12.10.4 sürümü döndürme değerini doğru alandan okuyor. Bu mesajı kullanan çağrı kodu 8.6.2 sürümünde, NebuSec'in belirttiği ilk sürümde aktif edildi. Telegram'ın Android, iOS ve masaüstü uygulamaları aramalar için tgcalls adlı ortak bir kütüphane kullanıyor. "Fix camera rotation" etiketli bir değişiklik 21 Nisan 2026'da tgcalls'te aynı düzeltmeyi yaptı. ![](https://teknotayf.com/assets/uploads/2026/10/4f936f83151fb8eadc1fdbd9a11e0e8e.gif) Telegram'ın iOS kaynak kodu bu değişikliği mayısta yayınlanan 12.7 sürümünden itibaren içerdi, masaüstü uygulamasının kodu temmuzda yayınlanan 7.0.1 sürümünden itibaren. Telegram Android ise eylülde 12.10.4 sürümünde aldı. Bu daha eski kodun söz konusu uygulamalarda istismar edilebileceği gösterilmedi. NebuSec'in videosunda biri saldırgan diğeri kurban olarak işaretlenmiş iki telefon görünüyor. Kurban Telegram aramasını kabul ediyor. Aramanın yaklaşık yarım dakikasından sonra kurbanın telefonu ana ekrana geçiyor, uygulama simgeleri ekranda aşağı düşüyor ve "HACKED BY NEBUSEC" logosu beliriyor. Video kurban telefonunun hangi Telegram veya Android sürümünü çalıştırdığını göstermiyor. 29 Ekim itibarıyla NebuSec'in sitesinde açığın teknik bir yazımı yok, bu yüzden iki diğer hata da dahil saldırı zinciri videoya ve şirketin söylediklerine bağlı. Y Combinator destekli bir girişim olan NebuSec, OpenAI'ın GPT-5.4 modeli üzerinde çalışan Code Security ürününün açığı bulduğunu söylüyor. Temmuzda şirket, Firefox açığıyla başlayan ve Android 17 çalıştıran ARM64 cihazın çekirdeğine ulaşan bir Android istismar zinciri anlatmıştı. Ayrı olarak Zero Day Initiative (ZDI) 15 Ekim'de Telegram uygulamalarının animasyonlu çıkartmaları çizmek için kullandığı rlottie kütüphanesindeki yama yapılmamış bir açık hakkında danışmanlık yayınladı. CVE-2026-111105 olarak izlenen açık (CVSS puanı: 7.0), ZDI'ye göre kullanıcı kötü amaçlı bir dosya veya sayfa açarsa saldırganın kod çalıştırmasına izin verebiliyor. Telegram mart ayında ZDI'ye sunucu kontrollerinin açığı hafiflettiğini söylemiş, nisanda ZDI'den tam uzaktan kod çalıştırma zinciri istemişti. Bu kontroller atlatılabilirdi, araştırmacı Saifeldeen Aziz Tokyo'daki OffensiveCon konuşmasının özeti içinde söylüyor. Araştırma, Telegram'ın iOS, Android ve masaüstü uygulamalarındaki rlottie'deki bellek bozulması hatalarını bulmak için yapay zekâ destekli fuzzing kullandı; bu hatalar çıkartmaların teslimi ve kontrolündeki kusurlarla zincirlenerek Telegram iOS'ta kod çalıştırıldı. Telegram'ın yayınlanan kaynak koduna göre Android uygulaması hazirandaki 12.8.1 ile ağustos 12.10.0 arasında rlottie'yi Rust ile yazılmış tlottie kütüphanesiyle değiştirdi. Masaüstü uygulamasının kodu aynı geçişi eylülde yaptı, iOS kodu ise ekimde 13.0 sürümünde tlottie'yi eklerken rlottie'yi hâlâ içerdi. (Bu makale NebuSec CEO'su Eten Zou'nun saldırı zinciri, kullanıcıların saldırıyı nasıl engelleyebileceği ve Telegram'ın NebuSec raporuna nasıl yanıt verdiği hakkındaki yanıtlarıyla güncellendi. Giriş artık açığın iki başka hata ile zincirlendiğini belirtiyor. Çıkartma araştırmasını anlatan bir cümle de düzeltildi.) --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/telegram-android-de-acik-sesli-arama-yanitlandiginda-kod-calistirilabiliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.