Celah Telegram Android Berujung Pengambilalihan Ponsel

Celah Telegram Android Berujung Pengambilalihan Ponsel – Aplikasi pesan instan menjadi bagian penting dalam aktivitas digital sehari-hari. Selain bertukar pesan, pengguna memanfaatkannya untuk mengirim dokumen, melakukan panggilan suara, hingga berbagi berbagai informasi pribadi. Namun, fitur komunikasi yang praktis juga dapat menjadi jalur serangan apabila ditemukan celah keamanan di dalam aplikasi.

Peneliti keamanan mengungkap kerentanan pada Telegram untuk Android yang berpotensi dimanfaatkan untuk mengambil alih kendali perangkat korban. Serangan ini memanfaatkan celah dalam mekanisme panggilan suara Telegram dan dapat dirangkai dengan dua kerentanan lain untuk keluar dari lingkungan aplikasi hingga memperoleh akses penuh ke ponsel.

Menurut pengungkapan yang dipublikasikan pada 29 Oktober 2026, penyerang hanya membutuhkan akun Telegram biasa. Namun, serangan tersebut memiliki satu persyaratan penting: korban harus menerima panggilan suara dari penyerang. Telegram telah memperbaiki celah utama ini melalui pembaruan aplikasi versi 12.10.4 yang dirilis pada akhir September 2026.

Berawal dari Panggilan Suara Telegram

Kerentanan ditemukan pada mekanisme komunikasi yang digunakan Telegram ketika dua pengguna melakukan panggilan suara. Selama proses panggilan, aplikasi pada kedua perangkat saling bertukar pesan singkat untuk mengatur koneksi dan melaporkan kondisi panggilan.

Salah satu jenis pesan yang dipertukarkan disebut MediaState. Pesan ini membawa informasi mengenai status mikrofon, apakah kamera sedang aktif, serta orientasi atau rotasi tampilan video.

Masalahnya terdapat pada bagian kode yang membaca pesan tersebut. Penanganan terhadap kolom data yang tidak lengkap tidak berjalan sebagaimana mestinya sehingga aplikasi dapat mengakses area memori yang seharusnya tidak dibaca.

Kondisi tersebut membuka peluang terjadinya kesalahan pengelolaan memori yang dapat dimanfaatkan sebagai bagian dari rangkaian serangan. Peneliti menemukan bahwa kelemahan ini terdapat pada kode Telegram untuk Android versi 8.6.2 hingga 12.10.3. Rentang versi tersebut dirilis antara Maret 2022 dan September 2026.

Bagaimana Serangan Dapat Mengambil Alih Perangkat?

Celah pada mekanisme panggilan suara bukan satu-satunya komponen yang diperlukan untuk mencapai pengambilalihan perangkat. Peneliti menjelaskan bahwa kerentanan tersebut dapat dirangkai dengan dua bug lain untuk meningkatkan tingkat akses penyerang.

Secara umum, rangkaian serangannya berlangsung melalui tahapan berikut:

Memulai panggilan suara. Penyerang menggunakan akun Telegram biasa untuk menghubungi korban. Serangan baru dapat dipicu setelah korban menerima panggilan tersebut.
Memanfaatkan celah pada Telegram. Pesan MediaState yang diproses secara tidak tepat dapat memicu kondisi yang memungkinkan penyerang mengeksploitasi kesalahan pengelolaan memori.
Keluar dari lingkungan aplikasi. Dengan menggabungkan celah tersebut dan kerentanan kebocoran informasi, penyerang diklaim dapat keluar dari batas keamanan aplikasi Telegram menuju lingkungan Android.
Meningkatkan hak akses. Rangkaian serangan kemudian memanfaatkan eksploitasi root pada Android untuk memperoleh kendali lebih luas terhadap perangkat.
Jika seluruh tahapan berhasil. penyerang berpotensi mengakses berbagai fungsi sensitif, termasuk pesan, mikrofon, dan kamera. Dengan kata lain, risiko serangan tidak lagi terbatas pada aplikasi Telegram, tetapi dapat meluas ke perangkat yang menjalankan aplikasi tersebut.

Meski demikian, penjelasan mengenai rangkaian eksploitasi ini masih perlu ditempatkan secara proporsional. Hingga pengungkapan pada 29 Oktober 2026, belum tersedia laporan teknis lengkap yang menjelaskan seluruh tahapan serangan secara terperinci.

Peneliti juga menyatakan belum menemukan bukti bahwa celah tersebut telah digunakan dalam serangan nyata.

Tidak Semua Versi Telegram Terdampak dengan Cara yang Sama

Peneliti mengonfirmasi pengujian celah utama melalui panggilan suara pribadi pada perangkat berbasis ARM64. Sejauh ini, belum ada bukti yang menunjukkan bahwa celah tersebut secara langsung berdampak pada aplikasi Telegram untuk iOS maupun desktop, atau pada panggilan grup.

Kode panggilan Telegram memang memiliki komponen bersama yang digunakan oleh aplikasi Android, iOS, dan desktop. Namun, perubahan kode yang memperbaiki kesalahan terkait rotasi kamera telah diterapkan pada komponen bersama tersebut secara bertahap.

Aplikasi iOS telah memasukkan perubahan itu pada versi 12.7 yang dirilis pada Mei 2026, sedangkan aplikasi desktop menerapkannya pada versi 7.0.1 pada Juli 2026. Perbaikan untuk Android baru tersedia melalui versi 12.10.4 pada September 2026.

Karena itu, pengguna tidak seharusnya langsung menyimpulkan bahwa seluruh platform Telegram memiliki tingkat risiko yang sama. Temuan yang diungkapkan secara khusus berkaitan dengan Telegram untuk Android.

Ada Temuan Kerentanan Lain pada Fitur Stiker

Selain celah pada panggilan suara, terdapat temuan terpisah mengenai kerentanan pada pustaka perangkat lunak yang digunakan Telegram untuk menampilkan stiker animasi.

Kerentanan tersebut tercatat sebagai CVE-2026-111105 dengan skor CVSS 7.0. Temuan yang diumumkan pada 15 Oktober 2026 itu berkaitan dengan pustaka rlottie. Dalam kondisi tertentu, kelemahan tersebut dapat memungkinkan eksekusi kode ketika pengguna membuka berkas atau halaman yang telah dimanipulasi.

Penelitian terhadap pustaka tersebut menggunakan teknik AI-guided fuzzing, yaitu metode pengujian dengan memberikan berbagai masukan tidak biasa atau rusak kepada program untuk menemukan kesalahan dalam pemrosesan data.

Telegram kemudian mengganti pustaka rlottie dengan tlottie, yang ditulis menggunakan bahasa pemrograman Rust, pada sejumlah versi aplikasinya. Namun, temuan CVE ini merupakan kasus terpisah dari celah panggilan suara yang menjadi fokus pembahasan utama.

Langkah Pengamanan bagi Pengguna Telegram

Pengguna Telegram untuk Android perlu memastikan aplikasi yang digunakan sudah menerima pembaruan keamanan terbaru. Berikut beberapa langkah yang dapat dilakukan:

Perbarui Telegram. Pastikan aplikasi telah menggunakan versi 12.10.4 atau lebih baru. Nomor versi dapat diperiksa di bagian bawah halaman Settings pada aplikasi.
Batasi panggilan dari orang tidak dikenal. Atur privasi panggilan suara menjadi Nobody jika tidak ingin menerima panggilan Telegram dari pengguna lain. Pengaturan ini dapat membantu memblokir skenario serangan yang diungkapkan peneliti.
Jangan menerima panggilan mencurigakan. Jika menerima panggilan dari akun yang tidak dikenal, pengguna dapat menolaknya. Menurut peneliti, serangan ini membutuhkan korban untuk menjawab panggilan.
Aktifkan pembaruan otomatis. Fitur ini membantu memastikan aplikasi memperoleh perbaikan keamanan tanpa harus selalu memeriksa versi terbaru secara manual.
Perbarui sistem operasi Android. Selain aplikasi, sistem operasi juga perlu mendapatkan pembaruan keamanan agar kerentanan pada komponen perangkat dapat ditangani.

Pembaruan Aplikasi Tidak Boleh Diabaikan

Kasus ini memperlihatkan bahwa fitur yang terlihat sederhana, seperti panggilan suara, dapat memiliki risiko keamanan yang kompleks. Kesalahan dalam memproses data komunikasi antaraplikasi dapat menjadi titik awal serangan yang dampaknya meluas hingga ke sistem operasi.

Pengguna memang tidak dapat mengendalikan bagaimana pengembang menulis dan mengamankan kode aplikasi. Namun, mereka tetap dapat mengurangi risiko dengan memasang pembaruan resmi, mengatur privasi komunikasi, dan tidak mengabaikan pemberitahuan keamanan.

Memastikan aplikasi selalu menggunakan versi terbaru bukan sekadar urusan memperoleh fitur baru. Dalam banyak kasus, pembaruan justru menjadi langkah penting untuk menutup celah yang dapat dimanfaatkan penyerang sebelum berdampak lebih luas.

Baca artikel lainnya: