Per chi va di fretta: a marzo i ricercatori di Zero Day Initiative segnalano a Telegram una falla critica legata agli sticker animati, l’azienda nega pubblicamente che esista. Il 23 luglio, un giorno prima della scadenza fissata per rendere pubblici i dettagli, Telegram rilascia una beta Android che sostituisce in via sperimentale proprio il renderer degli sticker, senza però confermare alcun collegamento con la falla segnalata. A oggi, una settimana dopo la scadenza, ZDI non ha ancora pubblicato l’avviso né assegnato una CVE.

Il 24 luglio doveva essere il giorno della verità per una delle vulnerabilità più critiche mai assegnate a Telegram. Sono passati sette giorni, e di quella verità non c’è ancora traccia.

Una falla nata a marzo, negata pubblicamente

Tutto comincia il 26 marzo, quando il ricercatore Michael DePlante di Zero Day Initiative (ZDI, il programma di Trend Micro che coordina la divulgazione responsabile di vulnerabilità) segnala a Telegram una falla catalogata come ZDI-CAN-30207. Il problema riguarderebbe la gestione degli sticker animati su Android e Linux, con un meccanismo di esecuzione di codice da remoto che non richiederebbe alcuna interazione da parte della vittima: basterebbe ricevere lo sticker sbagliato. Il punteggio iniziale, un CVSS di 9,8 su 10, la colloca tra le vulnerabilità potenzialmente più gravi mai assegnate a un’app di messaggistica con oltre un miliardo di utenti.

Telegram reagisce quasi subito su X, negando che la falla esista e sostenendo che ogni sticker caricato sulla piattaforma viene già validato lato server. Pochi giorni dopo ZDI abbassa comunque il punteggio a 7,0, spiegando la revisione con alcune mitigazioni lato server che l’azienda avrebbe descritto durante il processo di divulgazione.

Nel frattempo anche l’Agenzia per la Cybersicurezza Nazionale italiana, tramite il CSIRT, diffonde un proprio avviso sulla vicenda. La scadenza per la divulgazione completa viene fissata al 24 luglio, secondo la prassi standard di ZDI di dare centoventi giorni al vendor prima di pubblicare i dettagli tecnici.

La coincidenza il giorno prima della scadenza

Il 23 luglio, con ventiquattro ore di anticipo sulla scadenza, Telegram rilascia la beta Android 12.9.1. Tra le voci minori del changelog ne compare una che passerebbe inosservata a chiunque non stia seguendo la vicenda: la sostituzione sperimentale del renderer rlottie con uno nuovo, chiamato tlottie. rlottie è la libreria che Telegram usa per il rendering degli sticker animati in formato Lottie, lo stesso tipo di contenuto citato nel vettore d’attacco descritto da ZDI, anche se l’ente non ha reso pubblici dettagli tecnici che confermino questo componente come il responsabile specifico della falla. Non è comunque nuova a problemi di sicurezza: nel 2021 il team Shielder aveva già individuato più vulnerabilità nello stesso genere di fork, sempre legate agli sticker animati.

Non esiste alcuna conferma ufficiale che questa sostituzione sia la correzione della falla ZDI-CAN-30207. È un cambiamento etichettato come sperimentale e per ora limitato alla beta. Ma la coincidenza tra il tipo di componente coinvolto e la tempistica, esattamente un giorno prima della scadenza, resta quantomeno curioso e da segnalare.

Una scadenza passata senza CVE

Nel frattempo nella pagina delle Upcoming Advisories di ZDI, a oggi 31 luglio, la voce ZDI-CAN-30207 relativa a Telegram compare ancora tra le vulnerabilità non divulgate, con CVSS fermo a 7,0 e scadenza segnata al 24 luglio. Non figura tra gli avvisi pubblicati, e nessun numero CVE risulta assegnato pubblicamente.

Va detto per onestà che quello di Telegram non sarebbe un caso isolato: la stessa coda di ZDI contiene decine di voci con scadenza scaduta da mesi, alcune persino da fine 2025, segno che la pubblicazione automatica ai centoventi giorni non scatterebbe sempre con puntualità meccanica. La policy di divulgazione di ZDI, del resto, prevede proprio questo margine: l’ente si impegna a pubblicare un avviso alla scadenza solo se il vendor resta in silenzio o non fornisce una spiegazione ritenuta ragionevole sul perché la falla non sia ancora sistemata, mentre le estensioni formali, precisa ZDI stessa, restano concesse “solo in rare circostanze”.

Se Telegram fosse quindi in dialogo con l’ente e avesse offerto una giustificazione plausibile, magari proprio il lavoro sul nuovo renderer, il ritardo rientrerebbe nel processo previsto dalla policy, non in un’anomalia. Non abbiamo modo di verificarlo dall’esterno, così come resta un’ipotesi altrettanto valida che il ritardo dipenda semplicemente dalla gestione di una coda che conta centinaia di advisory in attesa. Quello che resta comunque valido, in ogni caso, è lo schema visto finora da parte di Telegram: negare pubblicamente, poi muoversi in silenzio senza mai confermare nulla.

In assenza di una CVE ufficiale e di una posizione chiara da parte di Telegram, l’unica misura sensata resta tenere l’app sempre aggiornata, incluse le versioni beta dove compaiono per prime le correzioni sperimentali come questa, oppure usare ovunque la versione web che non ha questa presunta vulnerabilità.