🔍 Март 2026: исследователь сдаёт в ZDI отчёт о критическом zero-click баге в Telegram. Telegram отвечает: «ошибка исследователя». Детали закрыты до июля. Миллионы пользователей ждут.
⚡ Аргумент Telegram — серверная фильтрация стикеров убивает вектор атаки. Но серверная конвертация обходится, не все форматы обрабатываются одинаково, а баг может жить в логике метаданных уже после фильтрации.
🎯 Поверхность атаки мессенджера шире, чем кажется: медиапарсеры, VoIP-стек, превью ссылок, push-уведомления. Исторически именно медиапарсеры дают большинство RCE:
libwebp в 2023 уронила все мессенджеры сразу. Статья разбирает методологию поиска таких багов: реверс, фаззинг, харнесы для парсеров — от теории до инструментов.Полный разбор:
https://codeby.net/threads/uyazvimost-nulevogo-dnya-v-messendzherakh-zdi-can-30207-v-telegram-i-metodologiya-okhoty-na-zero-day-bagi.92551/