Telegram Android版存在一个高危安全漏洞，攻击者可以创建特制的APK文件伪装成视频，通过Telegram的自动下载功能，在用户不知情的情况下安装恶意程序。该漏洞至少在6月6日就被黑客发现并利用，直到7月11日Telegram才发布新版本进行修复。

😨 该漏洞允许攻击者创建特制的APK文件，伪装成视频文件，利用Telegram的自动下载功能，在用户不知情的情况下安装恶意程序。攻击者可以利用该漏洞窃取用户敏感信息，甚至控制用户的设备。

⏳ 该漏洞至少在6月6日就被黑客发现并利用，直到7月11日Telegram才发布新版本进行修复。在此期间，攻击者可以利用该漏洞对大量用户进行攻击。

⚠️ 该漏洞本质上与Telegram桌面版出现的漏洞类似，都是利用Telegram API的缺陷将特制文件伪造为媒体，从而绕过用户防范措施，进行恶意攻击。

🛡️ 为了避免受到攻击，建议Telegram用户关闭自动下载媒体文件功能，并谨慎点击未知来源的链接和文件。

📢 Telegram方面在确认漏洞后迅速进行了修复，并发布了新的版本。用户应及时更新Telegram应用程序，以确保设备的安全。

4 月份时就有消息传出即时通讯应用 Telegram 桌面版存在高危安全漏洞，攻击者只需要向用户发送特制的媒体文件即可在无需用户交互的情况下完成感染，该漏洞依赖 Telegram 默认开启的自动下载媒体文件功能。

今天知名安全软件开发商 ESET 的研究人员披露 Telegram 另一个高危安全漏洞，该漏洞至少在 6 月 6 日就被黑客发现并利用，直到 7 月 11 日 Telegram 在 v10.14.5 版中才完成修复。

Telegram 的零日漏洞：

最初 ESET 研究人员在俄语 XSS 黑客论坛中发现名为 Ancryno 的黑客在兜售这个漏洞，ESET 研究 PoC 后确认该漏洞是真实有效的，漏洞仅适用于 Telegram for Android 版。

黑客可以创建特制的 APK 文件并将其发送给 Telegram 用户，该文件被会显示为嵌入式视频，如果 Telegram 可以自动下载媒体文件功能则会被自动下载。

当用户尝试播放该视频时 Android 系统会弹出打开按钮，点击打开时就会安装这个恶意的 APK 文件，还有个前置条件是用户必须在设置中已经开启安装未知来源的应用程序，否则系统会弹出提示告诉用户正在尝试打开 APK 文件。

漏洞至少暴露五周才被修复：

尽管 ESET 的研究人员在 6 月 26 日就向 Telegram 披露了该漏洞，不过漏洞的修复时间还是非常长，7 月 4 日 Telegram 给 ESET 回复称正在调查，到 7 月 11 日发布新版本完成修复。

从黑客发帖的 6 月 6 日开始到 7 月 11 日，超过一个月的时间该漏洞都可以被利用，Telegram 并未透露是否有黑客积极利用此漏洞展开攻击。

该漏洞本质上与 Telegram 桌面版出现的漏洞类似，都是利用 Telegram API 的一些缺陷将特制文件伪造为媒体，这样就可以在 Telegram 自动下载。

在这里还是继续建议 Telegram 用户关闭自动媒体文件自动下载功能，避免攻击者利用类似的漏洞发起针对性的攻击。