Basta ricevere un adesivo su Telegram. Il dispositivo è già compromesso, l'utente non ha fatto nulla.

Questo è il meccanismo descritto da Michael DePlante, un ricercatore della Zero Day Initiative di Trend Micro noto come @izobashi, che ha segnalato la vulnerabilità tracciata come ZDI-CAN-30207 a Telegram il 26 marzo. Attualmente non è disponibile alcuna patch.

Come funziona

Il problema risiede nel modo in cui vengono analizzati gli adesivi animati. Quando un file di questo tipo arriva in una chat, il client lo elabora automaticamente per generare un'anteprima, prima ancora che l'utente abbia toccato qualsiasi cosa. Un file appositamente creato può sfruttare questa fase per eseguire codice arbitrario.

Telegram per Android e Telegram Desktop per Linux sono interessati. Windows e iOS non sembrano essere coinvolti, almeno in base a quanto pubblicato finora.

Le potenziali conseguenze sono le peggiori possibili: accesso completo al dispositivo, ai messaggi, ai contatti e alle sessioni aperte. Tutto questo senza che l'utente se ne accorga.

CVSS 9.8 o 7.0?

I media hanno riportato un punteggio CVSS di 9.8, con il vettore AV:N/AC:L/PR:N/UI:N: attacco di rete, nessuna complessità, nessun privilegio richiesto, nessuna interazione dell'utente necessaria. Uno scenario di assoluto caso peggiore.

Il portale ZDI Upcoming Advisories, tuttavia, elenca un CVSS di 7.0 con il vettore AV:L/AC:H/UI:R: vettore locale, alta complessità, interazione dell'utente richiesta. Uno scenario completamente diverso, che implica condizioni molto più specifiche per sfruttare la vulnerabilità.

Non è chiaro da dove provenga la cifra di 9.8 che circola ovunque. I dettagli tecnici rimangono sotto embargo fino al 24 luglio 2026, quando la ZDI sarà tenuta a effettuare la divulgazione completa dopo i 120 giorni standard. Chiunque sostenga di sapere esattamente come è strutturato l'exploit sta speculando.

Telegram lo nega

Il 30 marzo l'azienda ha risposto sul proprio account X:

"Questa falla non esiste. Questo ricercatore afferma falsamente che un adesivo Telegram corrotto potrebbe essere utilizzato come vettore di attacco, ignorando completamente il fatto che tutti gli adesivi caricati su Telegram sono validati dai suoi server prima di poter essere riprodotti dalle app Telegram."

L'affermazione è che tutti gli adesivi passano attraverso una validazione lato server prima di raggiungere i client. Un file corrotto verrebbe presumibilmente filtrato lì, prima di raggiungere l'app. Se questo è effettivamente il modo in cui funziona, l'attacco sarebbe impossibile durante il normale funzionamento del servizio.

La ZDI non ha ritirato l'avviso.

Il CSIRT italiano non è convinto dalla negazione

Nello stesso giorno, l'Agenzia Nazionale per la Cybersicurezza italiana ha emesso l'allerta AL01/260328/CSIRT-ITA, ad alta severità. Il CSIRT evidentemente non ha trovato la risposta di Telegram sufficientemente convincente da non emettere un avvertimento.

Un punto dell'allerta merita di essere sottolineato: disabilitare il download automatico dei media non protegge. La vulnerabilità si attiva durante il parsing, non durante il download. Chiunque abbia già attivato quell'impostazione e pensi di essere al sicuro probabilmente sbaglia.

Cosa fare

Non esiste una mitigazione pulita fino all'arrivo di una patch. Le opzioni disponibili comportano tutte un compromesso.

Passare a Telegram Web su un browser aggiornato è la strada più sensata: il sandboxing del browser isola il parsing dal resto del sistema in un modo che l'app nativa non può fare. Riduce il rischio, anche se non lo elimina.

Coloro che utilizzano Telegram in un contesto aziendale possono limitare la ricezione dei messaggi solo ai contatti verificati, e la superficie di attacco si restringe. Questo richiede Telegram Premium e taglia fuori parte delle comunicazioni normali.

Disinstallare l'app elimina il problema alla radice, ma è difficilmente compatibile con l'uso quotidiano per la maggior parte delle persone.

Un exploit è già in circolazione?

Secondo alcune fonti, Positive Technologies e Kaspersky hanno dichiarato che un exploit funzionante è già in circolazione in ambienti privati. Nulla di pubblico è stato rilasciato e non ci sono IoC disponibili, quindi verificare se un sistema sia già stato colpito è praticamente impossibile.

Questo tipo di dichiarazioni proviene spesso da aziende che vendono prodotti di threat intelligence. Questo non significa che siano false, ma dovrebbero essere contestualizzate.

Se l'attacco è davvero remoto e senza interazione come descritto dalla copertura mediatica, stiamo parlando di una delle vulnerabilità più gravi mai scoperte su una piattaforma con un miliardo di utenti attivi. Ma il divario tra il CVSS 9.8 dei media e il 7.0 di ZDI è troppo ampio per essere ignorato, e i dettagli tecnici reali non sono ancora usciti.

Lo sapremo il 24 luglio. Nel frattempo, Telegram Web è l'unica scelta che ha senso.

Timeline

  • 26 marzo 2026: ZDI segnala la vulnerabilità a Telegram
  • 28 marzo 2026: la notizia inizia a circolare nei media internazionali
  • 30 marzo 2026: Telegram la nega; ACN emette l'allerta AL01/260328/CSIRT-ITA
  • 24 luglio 2026: scadenza della divulgazione pubblica di ZDI

Fonti: Trend Micro Zero Day Initiative (ZDI-CAN-30207), allerta ACN/CSIRT-ITA AL01/260328/CSIRT-ITA, SecurityOnline, CyberNews, CyberInsider