# Исследователь заявил о zero-click-атаке на Telegram для iOS через анимированные стикеры

> Источник: 404 Media. Канонический URL: https://404-media.ru/tehnologii/issledovatel-zayavil-o-zero-click-atake-na-telegram-dlya-ios-cherez-animirovannye-stikery

Сайфелдин Азиз сообщил о цепочке уязвимостей, позволявшей выполнять код в Telegram для iOS без действий пользователя.

- Рубрика: Технологии (https://404-media.ru/tehnologii)
- Опубликовано: 2026-10-28T22:10:19+03:00
- HTML: https://404-media.ru/tehnologii/issledovatel-zayavil-o-zero-click-atake-na-telegram-dlya-ios-cherez-animirovannye-stikery
- Markdown: https://404-media.ru/tehnologii/issledovatel-zayavil-o-zero-click-atake-na-telegram-dlya-ios-cherez-animirovannye-stikery.md
- llms.txt: https://404-media.ru/llms.txt

![Исследователь заявил о zero-click-атаке на Telegram для iOS через анимированные стикеры](https://storage.yandexcloud.net/404-media/media/2026/10/X3C8jcmXDNTm64GCjW2GmlO8Fgl0sx15u8aeQKQ4.png)

На конференции OffensiveCon Tokyo 28 октября исследователь безопасности Сайфелдин Азиз представил результаты годового анализа Telegram. По его словам, он объединил уязвимости библиотеки обработки анимированных стикеров с ошибками серверной проверки файлов и получил возможность выполнять произвольный код в Telegram для iOS без действий со стороны пользователя.

![Исследователь заявил о zero-click-атаке на Telegram для iOS через анимированные стикеры](https://storage.yandexcloud.net/404-media/media/2026/10/rzTiTo7RxGeVyhA0y9p0qo4Wlh5jQh3xXIpkZwdG.png)

Фото: Хабр

В основе атаки лежит библиотека rlottie. Telegram использует её для воспроизведения стикеров формата TGS — сжатых JSON-файлов, содержащих описание векторной анимации. После получения такого файла клиент самостоятельно разбирает его и отрисовывает кадры.

Азиз исследовал rlottie с помощью фаззинга, которым управляли большие языковые модели. В ходе работы были обнаружены несколько ошибок повреждения памяти, затрагивающих версии Telegram для iOS, Android и настольных операционных систем. Однако сами по себе эти ошибки ещё не гарантировали возможность атаки: Telegram проверяет загружаемые стикеры на своих серверах и должен отбрасывать потенциально опасные файлы до того, как они попадут в клиент.

Поэтому исследователь отдельно изучил механизм проверки и доставки стикеров. Он обнаружил логические ошибки, позволявшие обходить серверные и клиентские ограничения. Объединив эти проблемы с уязвимостями rlottie, Азиз построил цепочку эксплуатации и, согласно описанию его доклада, добился выполнения кода в Telegram для iOS без взаимодействия с пользователем.

## Проблема серверной защиты

Случай показывает, что безопасность в этой схеме зависит не только от исправности клиентского кода. Уязвимая библиотека остаётся установленной в официальном приложении, а защита строится на предположении, что сервер сможет отфильтровать все опасные варианты входных данных. Ошибка в логике проверки или доставки способна разрушить этот барьер.

Ранее, в марте 2026 года, исследователь Майкл Деплант из Zero Day Initiative сообщил Telegram о другой уязвимости rlottie. Позднее ей присвоили идентификатор CVE-2026-111105. Изначально проблему оценили в 9,8 балла по CVSS, но затем снизили оценку до 7,0, учитывая заявленные Telegram серверные меры защиты.

Telegram указывал, что загружаемые стикеры проходят проверку на серверах мессенджера до воспроизведения. Через две недели [компания](/biznes) запросила у ZDI полную цепочку удалённого выполнения кода. В ZDI ответили, что требование предоставить полностью работающий RCE-эксплойт не соответствует обычной практике ответственного раскрытия уязвимостей. 15 октября организация опубликовала описание проблемы со статусом 0-day.

В случае CVE-2026-111105 речь шла об ошибке преобразования числовых значений, которая могла приводить к записи перед началом выделенного буфера. При этом оценка ZDI предполагала необходимость взаимодействия пользователя, тогда как представленная Азизом цепочка, по его утверждению, относится к классу zero-click-атак.

Исследователь заявил, что даже после получения результатов его работы Telegram продолжал делать основной упор на ограничения доставки опасных данных, оставляя уязвимый код обработки анимации в официальных клиентах. Он поставил под сомнение надёжность подхода, при котором защита от клиентских уязвимостей полностью зависит от серверной логики поставщика мессенджера.

Пока опубликовано только описание доклада, а не полный технический разбор цепочки. Поэтому неизвестны точные условия эксплуатации, версии затронутых клиентов и ограничения продемонстрированной атаки. Независимого подтверждения работоспособности этой zero-click-цепочки в открытых материалах также нет.