Telegram-Sticker: Forscher zeigt Zero-Click-Angriff auf iPhones in Tokio

Auf der Sicherheitskonferenz OffensiveCon in Tokio hat der Forscher Saifeldeen Aziz am 28. Oktober 2026 eine Angriffskette demonstriert, die über animierte Sticker im Messenger Telegram funktioniert. Demnach soll die Methode eine Ausführung von Schadcode auf Apple-Smartphones ganz ohne Zutun der Betroffenen ermöglichen.

Angriffskette umgeht Server-Prüfung von Telegram

Grundlage der Präsentation war eine einjährige Untersuchung der Grafikbibliothek rlottie, bei der Aziz auf ein Modell mit Sprachmodell-gestütztem Fuzzing setzte. Dabei wurden mehrere Speicherfehler in Anwendungen für iOS, Android und Desktop-Betriebssysteme identifiziert.

Die vorgestellte Angriffskette kombiniert solche Speicherfehler innerhalb der rlottie-Bibliothek mit logischen Schwachstellen bei der Prüfung und Auslieferung von Stickern. Auf diesem Weg gelingt es Angreifern, die serverseitige Validierung von Telegram zu umgehen. Als vorrangiges Angriffsziel nannte der Forscher Akteure aus dem Krypto-Bereich.

Allerdings blieben zentrale technische Details im Vortrags-Abstrakt offen. Es enthielt weder Angaben zu konkret betroffenen Versionsnummern, Exploit-Bedingungen oder dem Patch-Status noch zugehörige CVE-Kennungen.

Auch ein vollständiger technischer Machbarkeitsnachweis wurde nicht vorgelegt. Eine unabhängige Bestätigung der Zero-Click-Kette steht bislang aus, womit unklar bleibt, wie viele Anwender potenziell gefährdet waren und ob die Schwachstelle eine vollständige Übernahme des iPhones erlaubt.

Umstieg auf tlottie schützt aktuelle App-Versionen

Telegram hat auf die Anfälligkeiten der rlottie-Komponente reagiert und die Programmbibliothek durch die in Rust geschriebene Alternative tlottie ersetzt.

Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Ein Apple-Experte erklärt im kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. Sicherheits-Checkliste für iPhone-Updates jetzt gratis sichern

Vor dem Vortrag kam tlottie bereits in den Clients für Android, Desktop-Systeme und macOS zum Einsatz; die iOS-Version folgte im September 2026. Wie Aziz laut Branchenberichten bestätigte, seien Nutzer aktueller offizieller Telegram-Anwendungen durch den Wechsel zu tlottie vor dem demonstrierten Angriff geschützt.

Die Sticker-Verarbeitung des Messengers stand bereits in der Vergangenheit im Fokus von IT-Sicherheitsexperten. Im Jahr 2021 dokumentierte das Unternehmen Shielder insgesamt 13 Verwundbarkeiten in diesem Bereich, die der Dienst bereits 2020 behoben hatte.

Im September 2026 führte zudem ein fehlerhafter Sticker mit einer Größe von nur 269 Byte laut dem Entwickler Pasquale Pillitteri dazu, dass die Anwendung beim Öffnen des Chats abstürzte. Telegram stellte daraufhin ein Update auf die Desktop-Version 7.2.7 bereit und stellte eine entsprechende Fehlerbehebung für iOS in Aussicht.

Warnungen und Schutzhinweise von Experten

Wer sich mit der Sicherheit seines Smartphones befasst, sollte nach jedem System-Update bestimmte Konfigurationen sofort überprüfen. Dieser kostenlose PDF-Ratgeber zeigt die einfache Schritt-für-Schritt-Methode für ein sicheres Gerät. Kostenlosen Ratgeber für sichere iOS-Updates herunterladen

Parallel dazu veröffentlichte die Zero Day Initiative (ZDI) am 15. Oktober 2026 das Sicherheitshinweis-Dokument ZDI-26-757 zur Kennung CVE-2026-111105. Dieser Fehler in rlottie basiert auf einer numerischen Verkürzung mit unerlaubtem Schreibzugriff vor dem zugewiesenen Speicherbereich. Die Einstufung nach dem CVSS-Standard lag anfangs bei 9,8 und wurde später auf 7,0 von 10 Punkten herabgesetzt.

Im Unterschied zu dem in Tokio gezeigten Zero-Click-Szenario setzt diese Schwachstelle laut ZDI jedoch eine Nutzerinteraktion voraus, etwa das Öffnen einer manipulierten Datei. Die ZDI hatte im Juli 2026 davor gewarnt, die Lücke als Zero-Day einzustufen, und Telegrams Forderung nach einer vollständigen Kette zur Fernausführung von Programmcode als unüblich kritisiert.

Bislang gibt es laut Sicherheitsanalysten keine Belege für großflächige Angriffe. Die Kennung CVE-2026-111105 wird nicht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA geführt. Um Risiken zu minimieren, rät die italienische Nationale Cybersicherheitsbehörde ACN dazu, in den Einstellungen für Privatsphäre und Sicherheit den Beitritt zu Gruppen und Kanälen zu beschränken.

Nutzer des kostenpflichtigen Telegram-Abonnements können zudem festlegen, dass nur Kontakte oder verifizierte Anwender Konversationen beginnen dürfen. Fachleute empfehlen generell, Apps stets aktuell zu halten, verdächtige Dateien oder Sticker zu meiden und aktive Sitzungen regelmäßig zu überprüfen.