Der Streit um eine angeblich kritische Telegram-Schwachstelle spaltet die Sicherheits-Community. Die Zero Day Initiative (ZDI) beschreibt die Lücke ZDI-CAN-30207 als besonders gefährlich, da sie einen Zero-Click-Angriff auf Android- und Linux-Versionen der App ermöglichen soll. Anfangs bewertete ZDI die Schwachstelle mit einem kritischen CVSS-Score von 9,8 Punkten, senkte diesen später auf 7,0 herab – angeblich aufgrund von Serverseitigen Schutzmaßnahmen, die Telegram beschrieben hatte.
Das Besondere an dieser Lücke: Sie erfordert keine Benutzerinteraktion. Nach Informationen der italienischen Cybersecurity-Behörde könnte der Angriff über manipulierte Sticker erfolgen – spezielle Mediendateien, die Telegram-Nutzer beim Chatten verwenden. Die bloße Zustellung dieser Inhalte soll für einen Kompromittierung des Systems ausreichen. Cybersicherheitsexperten wie Carolina Vivianti beschreiben dies als „zutiefst verstörend”, da das System die Dateien automatisch zur Vorschaugenerierung verarbeitet – genau dort könnte der Angriff ansetzen.
Telegram aber behauptet wiederholt auf X, dass ein solcher Angriff über Sticker unmöglich ist. Das Unternehmen argumentiert, dass alle hochgeladenen Sticker serverseitig validiert werden, bevor sie von der App abgespielt werden. Dies soll die Nutzung korrupter Sticker als Angriffsvektor technisch unmöglich machen. Die italienische Behörde bestätigte diese offizielle Position in einer aktualisierten Warnung.
Für Telegram-Nutzer in Deutschland bleibt die Situation unklar. Besonders problematisch ist, dass Vollständige Technische Details erst am 26. Juli veröffentlicht werden sollen. Sicherheitsexpertinnen empfehlen Geschäftsanwendern, die Nachrichtenempfangsfähigkeit auf vertrauenswürdige Kontakte zu beschränken, um die Angriffsfläche zu verringern. Für Private Nutzer werden eine Deinstallation oder die Nutzung der Telegram-Webversion über aktuelle Browser als Übergangslösung nahegelegt, da diese die Sandbox-Architektur moderner Browser nutzen und bessere Isolation bieten.
Das Schadenspotential wäre erheblich: Cyberkriminelle könnten durch solch eine Lücke private Kommunikationen abgreifen, Überwachung betreiben oder Gerätefunktionen stören. Für Journalisten, Politiker, Regierungsvertreter und Unternehmen, die auf Telegram vertrauen, wäre dies eine Katastrophe. Bis zur Klärung sollten Nutzer alle verfügbaren Updates sofort einspielen.