**研究人员绕过 Telegram 服务端贴纸验证并实现零点击 iOS 攻击——在此期间 Telegram 已更换存在漏洞的库**

网络安全专家 Saifeldeen Aziz [宣布](https://www.offensivecon.jp/speakers/2026/saifeldeen-aziz.html)将在 OffensiveCon 会议上发表演讲。这位研究人员花了一年时间研究 Telegram 贴纸的安全性。Telegram 最近刚刚对其贴纸库进行了全面改造，因此，在没有更多细节的情况下，目前尚不清楚这些更新是否已经修复了此次将披露的漏洞。

目前，使用最新版官方应用的 Telegram 用户很可能不会直接受到威胁。

**研究人员究竟发现了什么？**

 • 网络安全团队借助 AI 驱动的模糊测试，在负责渲染动态贴纸的 [rlottie](https://github.com/TelegramMessenger/rlottie) 库中发现了多个漏洞。在 iOS 版 Telegram 中，这些漏洞可能使攻击者能够在受害者的设备上执行代码。

 • Telegram 依赖服务端验证来过滤恶意文件。

 • 研究人员发现了贴纸分发和验证机制中的逻辑缺陷，并利用这些缺陷绕过了安全机制。

 • 根据作者的说法，即使在收到漏洞报告后，Telegram 仍然依赖服务端检查，而存在漏洞的渲染代码依然保留在官方客户端中。

**Telegram 更换了贴纸库**

研究进行期间，Telegram 改变了做法。Telegram [发布](https://github.com/dkaraush/tlottie)了 tlottie，这是一个通过氛围编程移植到 Rust 的新贴纸渲染库。目前，Telegram Desktop、macOS 版 Telegram 和 Android 版 Telegram 已经使用该库；从 9 月起，iOS 版 Telegram 也开始使用它。

tlottie 消除了整类内存错误，多年来基于贴纸的攻击正是一直利用这些错误发起的。在 [@tginfo](https://t.me/tginfocn) 编辑看来，通过在客户端应用中更新贴纸库，Telegram 团队表明，其在安全问题上并非只依赖服务端检查。

**这些发现现在仍然有效吗？**

 • 演讲资料尚未在网上发布。研究人员究竟在哪些版本上测试了完整的漏洞利用链，以及这些漏洞的具体性质，都要等到之后才能知晓。

 • 这项研究历时一年，而演讲预告明确将重点放在 rlottie 上。因此，有理由怀疑相关问题是否仍存在于最新版应用中，不过也不能完全排除这种可能性。此外，贴纸分发和验证机制中的逻辑缺陷并不依赖于渲染库。

 • Rust 不等于安全。目前还没有针对 tlottie 的独立审计或公开分析，因此，这个库究竟有多可靠，还需要时间来验证。

**一个系统性问题**

贴纸漏洞的历史可以追溯到多年前。早在 2020 年，Shielder 研究人员就在 rlottie 中[发现](https://www.shielder.com/blog/2021/02/hunting-for-bugs-in-telegrams-animated-stickers-remote-attack-surface/)了 13 个漏洞，这些漏洞允许攻击者远程破坏设备内存。当时，Telegram 只针对那些具体的错误进行了修补。

与此同时，Telegram 还曾公开否认相关风险。2025 年，漏洞交易商 Operation Zero [开出最高 400 万美元的悬赏](https://techcrunch.com/2025/03/21/russian-zero-day-seller-is-offering-up-to-4-million-for-telegram-exploits/)，征集针对 Telegram 的零点击漏洞利用攻击。Telegram 的一名代表则在接受《福布斯》采访时[表示](https://www.forbes.com/sites/daveywinder/2025/03/22/russian-broker-offers-4-million-for-telegram-zero-day-app-attack/)，该应用“从未受到过零点击攻击的影响”。

2026 年 3 月，Telegram 贴纸漏洞的相关条目[出现](https://t.me/tginfocn/969)在 [Zero Day Initiative](https://www.zerodayinitiative.com/advisories/upcoming/) 数据库中。Telegram 新闻部门向 [Durov’s Code](https://durovscode.com/) [表示](https://kod.ru/telegram-op%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%B3-zero-day)：“这种漏洞利用的存在是不可能的”，理由是所有贴纸都会经过服务器检查。[@tginfo](https://t.me/tginfocn) 编辑当时[指出](https://t.me/tginfocn/969)，服务端验证只是安全防护的一层，而这一层本身也可能存在错误。此次新研究的发现进一步印证了这一观点。10 月，ZDI 发布了该漏洞的完整细节，并将其标记为尚未修复。
在演讲预告中，Saifeldeen Aziz 对 Telegram 的安全策略提出质疑，并推测此类漏洞可能被用于创建后门。

在 [@tginfo](https://t.me/tginfocn) 编辑看来，改用 tlottie 是 Telegram 多年来首次尝试从根本上解决问题，而非再打一个补丁。Telegram 经常强硬地否认任何漏洞存在的可能性，或对相关问题进行[压制](https://t.me/tginfoen/1268)。[@tginfo](https://t.me/tginfocn) 编辑指出，信任并非通过这样的声明建立，而是需要公开承认问题，并允许独立方验证代码。

[#vulnerabilities](?q=%23vulnerabilities)