Исследователь безопасности Чаофань Шоу сообщил о возможной бескликовой атаке на Telegram Desktop и клиент Telegram для iOS, которую подготовила агентная система на базе Kimi K3. Автор утверждает, что модель добилась выполнения произвольной команды без действия пользователя.
Готового удаленного выполнения кода на стандартном устройстве исследователь не продемонстрировал. В самой публикации есть две существенные оговорки: ASLR был зафиксирован, а до полного RCE цепочке не хватало одного гаджета. Технический отчёт, уязвимый файл, исходный код эксплойта и условия воспроизведения не опубликованы.
На 24 июля 2026 года Telegram публично не подтвердил находку, не присвоил ей идентификатор и не назвал затронутые версии приложений. В официальном блоге мессенджера нет отдельного сообщения об этой демонстрации.
Исходное сообщение состоит из одной формулировки. Шоу заявил о zero-click arbitrary command execution в Telegram Desktop и iOS, после чего добавил: ASLR pinned, one gadget away from full RCE.
Первая часть означает, что системе якобы удалось выполнить некоторую команду без клика со стороны получателя. Вторая показывает, что полноценная цепочка эксплуатации ещё не была закончена: расположение компонентов в памяти искусственно стабилизировали, а один из необходимых фрагментов машинного кода оставалось найти.
Это может означать, что модель получила лишь промежуточный примитив — например, контроль над частью памяти или указателем выполнения в лабораторной среде.
Неизвестно, какая команда выполнялась, в каком процессе, с какими правами и на какой операционной системе. Ролик без отладочной трассировки не позволяет определить, был ли достигнут устойчивый контроль или показан один удачный запуск экспериментальной сборки.
ASLR, или рандомизация размещения адресного пространства, меняет расположение исполняемого кода, библиотек и других областей памяти. Защита мешает эксплойту заранее использовать точные адреса функций и последовательностей инструкций.
Apple применяет ASLR в iOS для рандомизации областей памяти при запуске процессов. Такой механизм усложняет эксплуатацию ошибок повреждения памяти на разных устройствах и после повторных запусков приложения.
На обычном iPhone или компьютере эксплойту потребовался бы отдельный способ обойти ASLR. Им может стать утечка адреса, ещё одна ошибка в приложении или предсказуемое размещение отдельного компонента. Шоу не сообщил, что такой обход уже существует.
Ошибка обработки входных данных может привести к аварийному завершению приложения, чтению или записи за пределами выделенной памяти. До полноценного выполнения кода остаётся несколько этапов.
Атакующему требуется добиться управляемого повреждения, перехватить поток выполнения, найти подходящие инструкции в памяти и обойти защитные механизмы операционной системы. Устойчивая атака должна повторяться после перезапуска и работать без заранее зафиксированных адресов.
Сторонние приложения на iOS работают в песочнице. Она ограничивает доступ программы к файлам, аппаратным возможностям и данным других приложений. iOS также использует ASLR и систему разрешений для защиты процессов.
Выполнение кода внутри процесса Telegram могло бы создать серьёзную угрозу для данных, доступных самому приложению. Оно не даёт автоматически административный доступ ко всему устройству.
Для полного захвата iPhone обычно требуется дополнительный выход из песочницы или эксплуатация системного компонента. Шоу не заявлял об обходе песочницы, повышении привилегий или выполнении кода в ядре iOS.
Telegram Desktop 7.0.4 вышел 21 июля, за два дня до публикации Шоу. В примечаниях упоминается исправление аварийного завершения при просмотре некоторых видеофайлов. Версия 7.0.5 появилась 23 июля и содержит формулировку Crash fixes.
Telegram принимает отчёты о проблемах безопасности напрямую. Программа охватывает официальные приложения, серверы и протокол, а вознаграждения за подтверждённые ошибки составляют от $100 до $100 тыс. и выше. Публичное раскрытие до устранения проблемы может лишить исследователя выплаты.
Вопросы и ответы
Kimi K3 действительно взломала Telegram?
Нет подтверждений завершённого взлома. Исследователь заявил о выполнении команды, но одновременно указал, что до полного RCE не хватало одного гаджета и ASLR был зафиксирован.
Был ли достигнут полный RCE?
Нет. Сам автор назвал цепочку незавершённой.
Что означает ASLR pinned?
Адреса компонентов в памяти оставались стабильными. На обычном устройстве ASLR меняет их расположение и усложняет повторяемую эксплуатацию.
Какие версии Telegram затронуты?
Неизвестно. Автор не указал номера сборок Telegram Desktop, приложения для iOS и операционных систем.
Telegram подтвердила уязвимость?
В проверенных официальных источниках подтверждения нет. Telegram не публиковал отдельный бюллетень или запись в блоге.
Исправлена ли проблема в Telegram Desktop 7.0.5?
Связь не установлена. В примечаниях к версии указаны общие исправления аварийных завершений, но нет упоминания Kimi K3, zero-click или RCE.
Нужно ли отключать автоматическую загрузку?
Это допустимая общая мера предосторожности, но её эффективность против предполагаемой ошибки неизвестна.
Есть ли атаки на реальных пользователей?
Подтверждённых сообщений нет.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
