ZDI Registered a Critical Vulnerability in Telegram — Don't Panic

On March 26, an entry ZDI-CAN-30207 concerning Telegram appeared in the database of the Zero Day Initiative — the largest independent vulnerability hunting program. The vulnerability was discovered by researcher Michael DePlante from Trend Micro.

Details are classified: according to ZDI regulations, the specifics will be disclosed either as soon as the messenger fixes the issue, or on July 24, 2026, if it does not.

There is no information about the vulnerability being exploited "in the wild" by actual hackers. Right now, no one except the researcher and Telegram developers knows what the vulnerability entails.

The popular theory about animated stickers is speculation and rumor, not facts known from this entry. All other "details" being spread by media and channels are either conjecture or descriptions of already fixed old vulnerabilities. There is no need to panic.

What to do:

• Update Telegram immediately when new versions are released.
• Use the official Telegram app to receive the update with the fix on the very first day.
• No other specific protective measures can be taken — the nature of the vulnerability is unknown.

Telegram's Reaction

The messenger's press service stated to Durov's Code that the vulnerability does not exist. Their argument: all stickers are checked by servers, therefore "the existence of such an exploit is impossible".

The @tginfo editors find this reaction strange. For some reason, Telegram commented specifically on the speculations about stickers, even though the attack vector has not been disclosed and might have nothing to do with them. It is unclear why the messenger chose to refute rumors instead of simply confirming their work on the ZDI report.

The assertion itself that the exploit does not exist due to server-side verification is technically flawed: server validation is merely one of the protection layers, which itself can contain errors and may not cover all possible scenarios. Moreover, stickers that cause the Android app to crash still exist today, which already calls into question the comprehensiveness of the claimed check.

The messenger's response to Durov's Code is a declaration, not an argument. It will only be possible to confirm or deny the existence of the problem after the details are published or a patch is released.

What Open Data Says

From the ZDI entry, the preliminary severity score — 9.8 out of 10 — and the attack vector parameters are known. If the assessment is correct, the vulnerability can be exploited remotely over the network, requires no user interaction and no system privileges, and potentially allows an attacker to gain full access to the user's data.

These are serious parameters, however, the preliminary score is set by the researcher and may be adjusted.

Context

It is not the first time Telegram has faced critical vulnerabilities. In 2020, Shielder researchers discovered 13 vulnerabilities in the rlottie library for animated stickers, including out-of-bounds write errors that allowed for remote memory corruption on the device. Telegram fixed the specific bugs but did not change the processing architecture. Potentially, animated stickers remain a broad attack surface, so it cannot be ruled out that the new vulnerability exploits them specifically.

In 2024, a flaw was discovered in Telegram Desktop that allowed programs to be disguised as videos, making it easier to convince a victim to click and launch them. In 2025, a similar EvilLoader vulnerability was found on Android. At the same time, the Russian vulnerability broker Operation Zero offered up to $4 million for zero-click exploits in Telegram, while a representative of the messenger told Forbes that "Telegram has never been vulnerable to zero-click exploits."

Practice shows that Telegram prefers to patch specific holes without addressing systemic security problems, and such rhetoric about the "absolute impossibility" of exploits does not inspire confidence against the backdrop of this history.

So, desde casi la primera release de CuteMusic he estado por ahí, recomendando y promoviendo esta app como si fuera algo mio, porque creí en Sosauce y su proyecto.

Pero CuteMusic ha muerto, sep...

Ha muerto para renacer como: Chocola

Es el mismo proyecto, mismo mantenedor, mismos traductores (holi) pero bueno, el nombre ha sido cambiado.

¿Por qué? bueno, las cosas cambian, Sosauce ya no es un niño genio, ya es casi un adulto (el tiempo vuela) so, sintió que quería un cambio, y se respeta.

Yo lo apoyo, sé que no podremos detener el hate o las criticas y más sabiendo la influencia del anime en esto (Nekopara) pero, meh, es su app, es su vida 😁

¿Fue la mejor forma de decidir un cambio de nombre? idk, quizás habría sido mejor una transición ordenada hacía el nuevo nombre pero, ya fue.

Telegram ahora mostrará un aviso de "seguridad" en los perfiles de los usuarios avisando de si usan un cliente no oficial...

Ya da flojera explicar esto, es potenciar un estigma estúpido y no es algo que haces cuando tienes una API abierta y un ecosistema open source, ¿para que lo tienes entonces?

Meh, yo no me escondo, 4 años usando forks porque los clientes oficiales me aburren y sus mayores novedades la mayoría del tiempo tienen que ver con cosas que nadie usa 😁

Una vez dije que Telegram solo usó al código abierto y el ecosistema de forks resultante para tener validación, han pasado los años, Telegram sigue sin tener nada de respeto por el movimiento que hizo de esta app lo que es hoy 😶

Una mejor forma de enfocar esto habría sido: mostrar que cliente usa el usuario, o mostrar el aviso si el cliente rompe el TOS.

Un aviso de este tipo potencia el estigma de que todos los forks son cosas como Ayugram xD

Y no, eso es un mito y es meter a todos en el mismo saco.

Pero weno, Telegram y sus alucinaciones 😇

Mejor no digo más :v

Tema random: ¿tienen Balatro en PC pero no en Android o IOS?

Desde hace tiempo hay herramientas para convertir una build legal de Balatro de Steam a una apk de Android, gracias a lo portable que es el motor de juego usado.

Aunque desde que salió la versión oficial perdieron fuerza pero, siguen estando unas cosas curiosas.

Esta herramienta por ejemplo cambia la orientación y adapta Balatro por una orientación totalmente vertical para jugar sin girar el móvil, es más cómodo de lo que esperaba.

Esta otra es el nuevo estándar y puede cambiar la experiencia completamente, hace accesible convertir Balatro a una app android o IOS, desde el mismo navegador, le inyecta el motor de mods, so siguiendo un par de cosas, se le pueden añadir mods de contenido y demás igual que la versión de steam, para extender aún más lo que ofrece 🤔

En fin, es increible la cantidad de herramientas de todo tipo que hay sobre Balatro, hay hasta una lista larga aquí

A algunos se les filtra una función o algo menor, a otros se les filtra el código fuente al completo 😁

Me refiero a Claude, gracias a un error en npm se pudo acceder a gran parte del código fuente de Claude Code, en especifico de su herramienta CLI.

Lógica interna, funciones que ni habían salido oficialmente, montones de cosas xd lo peor es que esto no es primera vez que les pasa, parece que proteger esos archivos no es su fuerte.

Alguien había hecho un fork del código en Github (de hecho aún se encuentran copias) y por miedo a una demanda lo porteó a Python (usando IA, la ironía), sin embargo ya no queda ni rastro jaja.

La cosa es que el código ya está por ahí, y aunque sea propietario, más de un proyecto lo va a usar, ingeniería inversa pues, no necesitas usar el código exacto de algo para que te sea útil, puedes usarlo para entender como hacer lo mismo sin usar ese código. Desde proyectos open source hasta empresas, más de uno estará revisando que pueden implementar

Hay rumores de que en Nekogram están haciendo cosas dudosas de nuevo... 🤔

No me gusta llamar al pánico sin tener todo el mapa de la situación, solo digamos que se le está acusando con pruebas de cosas muy fuertes...

Para mi, es posible, el dev de Neko ya ha tenido sus cosas en el pasado, pero habrá que esperar y ver

Por ahora, si les preocupa su privacidad y usan Nekogram, quizás sea buena idea usar otra cosa 🙃

Posts relevantes: https://t.me/techleakszone/9417 y https://t.me/techleakszone/9419

¿La acusación? Extracción de datos sensibles como números de teléfono

Nekogram siempre ha tenido código ofuscado y partes recortadas en su código fuente, razón por la que algunos no le consideramos realmente de código abierto ni transparente.

Quien no tiene nada que esconder no hace eso, pero en fin, habrá que ver como termina todo. Por ahora el chat de discusión de Nekogram está en llamas 😁

La defensa no oficial hasta ahora es que son "estadísticas legítimas"

No sé yo, primero, Nekogram ya tiene recolección de estadísticas mediante firebase de Google, que se puede apagar por el usuario.

Entonces, ¿para que tener un segundo pack de estadísticas y de forma tan ofuscada para que no se descubriera? Si fueran analíticas legítimas no se haría eso 🤔

Y de todas formas, ¿por qué tanto interés en recolectar y transmitir esos datos?

Hace años, cuando NekoX y Nekogram tuvieron la pelea que hizo arder la comunidad de forks, NekoX tenía como argumento que Nekogram tenía puertas traseras para recolectar y transmitir información del usuario 🤔

¿La respuesta de Neko? ataques y descalificaciones, acusar a NekoX de vuelta de lo mismo, y finalmente: el día donde el dev cruzó la raya y envió una notificación push ofensiva.

So, nunca dió explicaciones técnicas, y en vez de ser más transparente comenzó a ofuscar y ocultar partes de su código fuente, no es la respuesta adecuada para limpiar su imagen creo yo 😁

Yo no espero un comunicado de disculpa o una confirmación, va a pelear seguramente. O al menos con su historial es lo que uno espera, que esto no sea un "Oops, me atraparon" y sea más una guerra de acusaciones

Nekogram appears to be using the TgDB Search Bot in an automated manner (without our knowledge; this is not a partnership), likely to search for usernames.

However, this is unrelated to their obfuscated scraping of phone numbers; we do not receive any data from Nekogram and are in no way affiliated with them.

Este post reenviado parece que lo borraron 😁

Bueno, ese bot es un bot muy útil que permite encontrar mejores resultados de búsqueda que la forma nativa de Telegram

En la acusación a Neko, se encontró referencias a que usan dicho bot, los devs han dicho que parece que lo están usando de forma automatizada y sin su consentimiento, que no están relacionados ni afiliados con Nekogram bajo ningún concepto.

Btw, aclaratoría pequeña ya que he visto la misma pregunta repetirse en grupos y demás donde se habla del tema:

- ¿Están los forks como Nagram, NagramX, Nagram XF, (cuantos Nagram hay ahora? xD)Momogram o Nullgram afectados por esto?

La respuesta en principio sería que no, si bien todos comparten código heredado de NekoX que a su vez estaba basado en una versión antigua de Nekogram, la relación actual no es tan cercana, quiero decir, el código de NekoX se diversificó y tomó un camino diferente hace muchos años (además de que NekoX luego del conflicto con Neko no volvieron a usar su código de nuevo), Nullgram surgió del conflicto y usa partes de NekoX, sí, pero lo mismo, son años de código diferente y sin nada que ver con Neko, en Nagram bueno, son un poco de todo pero no son un fork de Nekogram aunque si es verdad que suelen incluir funciones de ahí

¿Y Momogram? hasta la pregunta ofende 😁Momogram es el sucesor espiritual de NekoX de manos de un ex contribuidor, quien comparte el mismo sentimiento sobre Neko que tenían sus antecesores. No, Momo no es un fork de Neko, no depende de Neko, ni siquiera tiene telemetría, que Neko cargue con su cruz solo.

Además, el Nekogram actual no comparte el mismo código que el Nekogram en el que se basaba NekoX, son como dos proyectos distintos.

Lamentablemente el incidente afectará la imagen de toda la comunidad pero es importante aclarar ese punto.

Aunque yo como tal solo puedo dar fe por Momogram por ver el desarrollo de cerca y ser colaborador, no meto las manos en el fuego por el resto, pero eso, si la pregunta es si otros forks están enviando datos al dev de Neko solo por haber usado alguna parte de su código, la respuesta lógica es que no.

Lo de "no confíes, verifica" está hoy más vigente que nunca parece 😁

Mucha gente ha confiado en Neko a pesar de las cosas preocupantes en su historia y desarrollo, pocos verificaron, aunque bueno en este caso cuando tienes gran parte de tu código ofuscado o recortado, también es que es muy difícil verificar de forma correcta xd

Btw, en una trama secundaria, están acusando a Cherrygram de algunas cosas, hoy es día de polémica parece.

La respuesta de Nekogram es: lo que esperaba.

Nada nuevo bajo el sol.

Pero es Nekogram, yo no descarto que sobrevivan a esto, si han sobrevivido a cosas peores xD

La moraleja es: esto no es la primera vez que esto pasa con Nekogram, escándalos han tenido desde hace años, ¿por qué la gente olvida tan rápido todo y sigue? no lo sé, pero algo habría que aprender de esto, que seguir usando eso es masoquismo puro

Pero si de verdad te importa, Nekogram no es un fork que sea recomendable de usar

A ver, confirmemos lo que acaba de pasar:

Nekogram admitió que: "La respuesta es sí, los números fueron enviados al bot. Algunas personas piden una explicación, pero que tipo de explicación necesitas? es exactamente lo que parece, es lo que es"

Luego procedió a decir que los números no fueron compartidos con nadie y así pero ... eso no es una respuesta aceptable 😁

En resumen: admite parcialmente lo que fue encontrado, aunque aclara que no ha compartido esos datos con nadie, claro...

Es gracioso que sea Nekogram el fork que haya sido encontrado haciendo esto considerando que desde hace tiempo intentaban ser la brújula moral de los forks, el ejemplo, ignorando su historial 😁

Lo malo es eso, que hay gente que si se tragó que eran "los buenos" de la escena... so, si caen "los buenos" que son la cara visible, afecta a todos los demás.

Pero bueno, mejor que estas cosas se sepan a que permanezcan ocultas

En los últimos tiempos he intentado no hablar mucho de Telegram o forks porque bueno, para mi era como que estaba encasillado en eso, pero lo de hoy fue tan surrealista que se tuvo que volver a los orígenes 😁

Una novedad interesante de las versiones más recientes de Telegram Desktop que han salido estos días es que finalmente hay soporte para lectores de pantalla, al fin hacen algo relacionado con la accesibilidad.

Se activa por default y puede ser apagado por un botón, para nosotros puede que sea un cambio menor pero hay gente que llevaba esperando años por algo así 😇

Aunque eso sí, no sé que tan bueno es el soporte

Probablemente el mejor vídeo de introducción a Linux: https://youtu.be/uXvT7hHJfIE

No sé, me encanta ese canal, los visuales, los sonidos, muchos canales de contenido sobre Linux muchas veces no se diferencian del resto, parecen todos iguales, por eso siempre me ha gustado más este, tiene su propio estilo 😁