> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Исследователь обошёл серверную защиту Telegram от вредоносных стикеров
- URL: https://admin.kod.ru/telegram-stikery-zero-click/
- Published: 2026-10-28T16:37:07.000Z
- Updated: 2026-10-28T16:37:07.000Z
- Description: Доклад об атаке через анимированные стикеры прозвучит на OffensiveCon. Тем временем Telegram перевёл клиенты на новую библиотеку tlottie.
- Author: Никита Мышаев
- Tags: Новости, Телеграм

Специалист по кибербезопасности Сайфелдин Азиз [анонсировал](https://www.offensivecon.jp/speakers/2026/saifeldeen-aziz.html?ref=admin.kod.ru) доклад о zero-click уязвимостях в стикерах Telegram на конференции OffensiveCon.

Zero-click — это атака, для которой жертве не нужно ничего нажимать: достаточно получить сообщение. Исследование заняло год. Материалы доклада пока не опубликованы, поэтому неизвестно, на каких версиях приложений проверялась атака.

Сначала Азиз с помощью фаззинга под управлением ИИ (автоматической подачи программе случайных данных) нашёл несколько ошибок повреждения памяти в `rlottie`. Эта библиотека отвечала в Telegram за отрисовку анимированных стикеров. Защиту от таких ошибок мессенджер строил на серверной проверке, которая должна отсеивать вредоносные файлы.

Затем исследователь нашёл логические ошибки в доставке и проверке стикеров и с их помощью обошёл эту защиту. Объединив уязвимости в цепочку, он добился выполнения кода на устройстве в Telegram для iOS. По словам Азиза, даже после его отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код остаётся в официальных клиентах.

> «Стоит ли считать такую модель мерой защиты, архитектурным риском или чем-то ближе к бэкдору?» — задаётся вопросом Азиз в анонсе доклада.

Тем временем Telegram сменил библиотеку. Мессенджер опубликовал [tlottie](https://github.com/dkaraush/tlottie?ref=admin.kod.ru) — новую библиотеку для отображения стикеров, переписанную на Rust. Её уже используют Telegram Desktop, приложение для macOS и Android, а с сентября — и Telegram для iOS. Язык Rust исключает целый класс ошибок работы с памятью, на которых строились атаки через стикеры. Независимых аудитов `tlottie` пока нет.

Поэтому прямой угрозы для пользователей актуальных версий официальных приложений, скорее всего, нет. Однако логические ошибки в доставке и проверке стикеров от библиотеки отрисовки не зависят, и исправлены ли они, пока неизвестно.

Проблемы с `rlottie` известны давно. В 2020 году специалисты компании Shielder нашли в библиотеке 13 ошибок, позволявших удалённо повреждать память устройства, и Telegram закрыл их по отдельности. В 2025 году брокер уязвимостей Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а в Telegram заявляли, что он никогда не был уязвим для таких атак.

В марте 2026 года в базе Zero Day Initiative (ZDI) появилась запись об уязвимости в стикерах Telegram. Тогда пресс-служба мессенджера [заявила](https://kod.ru/telegram-oproverg-zero-day/?ref=admin.kod.ru) «Код.ру», что такой эксплойт невозможен, поскольку все стикеры проверяются на серверах. В октябре ZDI опубликовала подробности уязвимости и отметила её как неисправленную.

[Эксклюзив: Telegram опроверг наличие критической уязвимости нулевого дняTelegram не подтверждает наличие критической уязвимости нулевого дня.![](https://admin.kod.ru/content/images/icon/favicon-icon-7faff82c-2820-4859-a8d9-bcc3e74604c0.png)Код.руМакс Варламов![](https://admin.kod.ru/content/images/thumbnail/https-3A-2F-2Fapi.kod.ru-2Fcontent-2Fimages-2F2026-2F03-2F--------_-------6-59c51459-c960-4662-8ade-f09eb8a76ff6.png)](https://kod.ru/telegram-oproverg-zero-day/?ref=admin.kod.ru)