Telegram Android Kena Bug Panggilan Suara, Cek Versinya

Telegram untuk Android punya celah keamanan di fitur panggilan suara yang bisa dipakai penyerang untuk mengambil alih HP korban, asalkan korban mengangkat panggilannya. Celah ini ada di Telegram Android versi 8.6.2 sampai 12.10.3, dan sudah ditambal di versi 12.10.4 yang dirilis akhir September 2026.

Temuan ini diungkap perusahaan keamanan NebuSec pada 29 Oktober 2026 dan dilaporkan oleh The Hacker News. Penyerang cukup memakai akun Telegram biasa, lalu menelepon target. Begitu panggilan diangkat, celah ini bisa dirangkai dengan dua bug lain sampai penyerang menguasai pesan, mikrofon, dan kamera HP.

Kabar baiknya, perbaikannya sudah tersedia dan cara mencegahnya cukup sederhana. Artikel ini akan menjelaskan apa yang sebenarnya terjadi, versi Telegram mana yang terdampak, cara cek versi di HP, serta pengaturan privasi panggilan yang bisa langsung dipakai pengguna di Indonesia.

Apa yang terjadi dengan Telegram Android?

NebuSec, startup keamanan yang didukung Y Combinator, menemukan kesalahan di kode yang mengatur panggilan suara Telegram. Menurut CEO NebuSec, Eten Zou, celah ini memberi jalan bagi penyerang untuk "kabur" dari aplikasi Telegram ke sistem Android.

Rangkaian serangannya terdiri dari tiga bagian:

1. Celah panggilan Telegram sebagai pintu masuk saat panggilan diangkat.
2. Bug kebocoran informasi yang membantu penyerang memahami isi memori aplikasi.
3. Exploit root Android yang memberi kendali penuh atas HP, termasuk pesan, mikrofon, dan kamera.

NebuSec juga merilis video demonstrasi. Di video itu terlihat dua HP, satu sebagai penyerang dan satu sebagai korban. Sekitar setengah menit setelah korban menerima panggilan, layar korban kembali ke home screen, ikon aplikasi berjatuhan, lalu muncul logo "HACKED BY NEBUSEC".

Catatan: Video tersebut tidak menunjukkan versi Telegram dan Android yang dipakai HP korban. Sampai 29 Oktober, NebuSec juga belum memuat tulisan teknis lengkap di situsnya, jadi detail rangkaian serangan masih bersandar pada video dan keterangan perusahaan.

Versi Telegram yang terdampak

Bagian ini paling penting untuk dicek. Menurut Zou, celah bisa dipicu di semua versi Telegram Android dari 8.6.2 sampai 12.10.3. Versi-versi itu dirilis antara Maret 2022 dan September 2026, jadi rentangnya cukup panjang.

NebuSec mengonfirmasi serangan ini pada panggilan pribadi (bukan grup) di HP berbasis ARM64. Hampir semua HP Android modern yang dijual di Indonesia memakai chip ARM64, jadi pengguna Android sebaiknya tidak menganggap remeh.

• Penyerang butuh: akun Telegram biasa.
• Korban harus: mengangkat panggilan.
• Status CVE: belum ada nomor CVE per 29 Oktober.
• Serangan nyata: NebuSec belum melihat celah ini dipakai di dunia nyata.

Bagaimana bug panggilan ini bekerja?

Saat panggilan Telegram berjalan, dua aplikasi saling mengirim pesan pendek untuk menyiapkan panggilan dan melaporkan kondisinya. Salah satu jenis pesannya bernama MediaState. Pesan ini memberi tahu apakah mikrofon dibisukan, apakah kamera menyala, dan bagaimana rotasi video.

Masalahnya ada di kode yang membaca pesan MediaState. Kode itu tidak menangani kolom yang hilang dengan benar, sehingga mengakses memori yang seharusnya tidak disentuh. The Hacker News memeriksa kode sumber Telegram yang dipublikasikan dan menemukan pola yang cocok di versi 12.10.3:

1. Kalau pesan MediaState membawa nilai rotasi, kode memeriksa nilai tersebut.
2. Setelah itu, kode malah membaca kolom lain, yaitu status video, meski pesan tidak punya kolom itu.
3. Di versi 12.10.4, kode sudah membaca nilai rotasi dari kolom yang benar.

Fitur panggilan yang memakai pesan ini aktif sejak versi 8.6.2, versi pertama yang disebut NebuSec. Telegram Android, iOS, dan desktop sama-sama memakai satu pustaka panggilan bernama tgcalls. Perbaikan berlabel "Fix camera rotation" sudah masuk ke tgcalls pada 21 April 2026, lalu ikut ke Telegram iOS versi 12.7 (Mei) dan desktop versi 7.0.1 (Juli). Telegram Android baru menerimanya di versi 12.10.4 pada September.

Apakah versi lama di iOS dan desktop juga bisa dieksploitasi, sampai sekarang belum dibuktikan.

Tanggapan Telegram dan peran AI

NebuSec melaporkan celah ini ke Telegram pada 26 September 2026, tepat setelah versi 12.10.4 keluar. Menurut Zou, Telegram menerima laporan itu tetapi tidak percaya celah ini bisa dipakai untuk menjalankan kode dari jarak jauh. Akibatnya, tidak ada nomor CVE dan tidak ada hadiah bug bounty.

The Hacker News sudah meminta komentar dari Telegram. Sampai artikel ini ditulis, belum ada pernyataan resmi Telegram yang dikutip dalam laporan tersebut.

Hal menarik lainnya adalah cara celah ini ditemukan:

• NebuSec mengaku produk Code Security miliknya, yang berjalan di model GPT-5.4 dari OpenAI, yang menemukan celah ini.
• Pada Juli 2026, perusahaan yang sama juga memaparkan rangkaian exploit Android yang berawal dari celah Firefox sampai ke kernel HP ARM64 dengan Android 17.

Ini menambah daftar celah keamanan yang ditemukan dengan bantuan AI sepanjang 2026, sebuah tren yang membuat kecepatan update aplikasi makin penting.

Cara cek versi Telegram di HP Android

Cara paling aman adalah memastikan Telegram sudah di versi 12.10.4 atau lebih baru. Nomor versi tertera di bagian paling bawah halaman Pengaturan.

Langkah-langkahnya:

Baca juga Bug Embrace di VS Code dan Codex, Ini Cara Amannya

1. Buka aplikasi Telegram.
2. Ketuk ikon garis tiga di kiri atas, lalu pilih Pengaturan (Settings).
3. Gulir sampai paling bawah. Nomor versi tertulis di sana, misalnya "Telegram for Android v12.10.4".
4. Kalau angkanya masih di bawah 12.10.4, buka Google Play Store, cari Telegram, lalu ketuk Update.
5. Setelah update, cek lagi nomor versinya untuk memastikan.

Tips: Aktifkan update otomatis di Play Store supaya aplikasi chat seperti Telegram dan WhatsApp selalu dapat tambalan keamanan tanpa perlu dicek manual.

Untuk yang memasang Telegram dari APK di luar Play Store, pastikan unduhan berasal dari situs resmi telegram.org. APK dari grup atau situs tak jelas berisiko membawa masalah lain.

Atur privasi panggilan supaya lebih aman

Menurut Zou, serangan ini butuh korban ditelepon dan mengangkat panggilan. Artinya, ada dua cara tambahan untuk memblokirnya: menolak panggilan dari orang tak dikenal, atau mengatur siapa yang boleh menelepon menjadi "Tidak Ada" (Nobody).

Cara mengaturnya:

1. Buka Pengaturan di Telegram.
2. Pilih Privasi dan Keamanan.
3. Ketuk Panggilan.
4. Pada bagian "Siapa yang bisa menelepon saya", pilih Kontak Saya atau Tidak Ada.

Pilihan "Kontak Saya" sudah cukup mengurangi risiko dari orang asing. Pilihan "Tidak Ada" paling ketat, tetapi teman dan keluarga juga tidak bisa menelepon lewat Telegram. Pilih sesuai kebutuhan.

Buat pengguna Telegram di Indonesia

Telegram termasuk aplikasi chat yang ramai dipakai di Indonesia, mulai dari grup komunitas, kanal berita, grup kampus, sampai grup jual beli. Banyak pengguna juga menerima panggilan dari nomor atau akun yang tidak dikenal, jadi pengaturan privasi panggilan ini relevan sekali.

Beberapa hal yang perlu diperhatikan:

• HP lama yang jarang di-update paling berisiko. Kalau Telegram di HP orang tua atau HP cadangan masih versi lama, sebaiknya ikut diperbarui.
• Admin grup dan kanal besar biasanya lebih sering jadi incaran. Mereka sebaiknya membatasi panggilan hanya dari kontak.
• HP yang sudah di-root sebenarnya tidak dibutuhkan untuk serangan ini, karena rangkaian NebuSec sudah membawa exploit root sendiri. Namun HP dengan patch keamanan Android yang lama tetap lebih rentan.
• Panggilan dari akun asing yang tiba-tiba menelepon tanpa alasan jelas sebaiknya ditolak saja.

Peringatan: Jangan percaya pesan berantai yang menawarkan "Telegram versi aman" lewat tautan APK. Update yang sah cukup lewat Play Store atau situs resmi Telegram.

Celah stiker rlottie yang juga sempat dibahas

Di luar celah panggilan, ada laporan terpisah soal rlottie, pustaka yang dulu dipakai Telegram untuk menampilkan stiker animasi. Zero Day Initiative (ZDI) menerbitkan peringatan pada 15 Oktober 2026 untuk celah dengan kode CVE-2026-111105 (skor CVSS 7.0). Celah itu bisa membuat penyerang menjalankan kode kalau pengguna membuka file atau halaman berbahaya.

Fakta singkatnya:

1. Telegram sempat menyampaikan ke ZDI pada Maret bahwa pemeriksaan di server mereka sudah meredam celah ini.
2. Peneliti Saifeldeen Aziz menyebut pemeriksaan itu masih bisa diakali, dalam ringkasan materinya untuk konferensi OffensiveCon di Tokyo.
3. Telegram Android sudah mengganti rlottie dengan tlottie, pustaka berbasis bahasa Rust, antara versi 12.8.1 (Juni) dan 12.10.0 (Agustus).
4. Aplikasi desktop beralih pada September, sementara iOS menambahkan tlottie di versi 13.0 pada Oktober meski rlottie masih ikut terpasang.

Jadi, untuk pengguna Android, update ke versi terbaru sekaligus menutup dua masalah: celah panggilan dan pustaka stiker lama.

Checklist

• Cek versi Telegram di Pengaturan, pastikan minimal 12.10.4
• Update Telegram lewat Play Store kalau masih versi lama
• Atur privasi panggilan ke Kontak Saya atau Tidak Ada
• Tolak panggilan dari akun asing yang mencurigakan
• Aktifkan update otomatis aplikasi di Play Store
• Periksa juga Telegram di HP keluarga atau HP cadangan

Poin penting

• Celah ada di Telegram Android 8.6.2 sampai 12.10.3.
• Sudah ditambal di versi 12.10.4 yang rilis akhir September 2026.
• Serangan butuh korban mengangkat panggilan pribadi.
• Belum ada bukti celah dipakai dalam serangan nyata.
• iOS, desktop, dan panggilan grup belum terbukti terdampak langsung.

Referensi

1. The Hacker News (2026). Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls
2. NebuSec (2026). Unggahan demonstrasi exploit panggilan Telegram di X
3. Telegram (2026). Kode sumber Telegram for Android 12.10.3 dan 12.10.4 di GitHub
4. Telegram (2026). Commit tgcalls "Fix camera rotation"
5. Zero Day Initiative (2026). Advisory ZDI-26-757 tentang rlottie
6. OffensiveCon (2026). Abstrak materi Saifeldeen Aziz
7. Y Combinator (2026). Profil perusahaan NebuSec
8. Google Play (2026). Halaman aplikasi Telegram