Telegram a corrigé une vulnérabilité dans son application Android qui pouvait permettre à un simple message envoyé par un bot de déclencher l’exécution de code sur un téléphone. L’alerte a été relayée le 13 novembre 2026 par la plateforme d’échange de cryptomonnaies Bybit, qui recommande à ses utilisateurs d’installer immédiatement la dernière mise à jour de Telegram.
Un message pouvait lancer une action sur Android
Le problème est apparu après l’introduction, le 9 novembre, de « widgets » envoyés par des bots. Ces éléments sont des mini-applications intégrées à une conversation. Deux jours plus tard, la société de cybersécurité V12 a publié une vidéo montrant un message de bot ouvrir automatiquement l’application Calculatrice sur un appareil Android.
Cette démonstration correspond à ce que les spécialistes appellent une exécution de code à distance, ou RCE : une personne extérieure peut faire effectuer à un appareil des actions qui ne devraient pas être déclenchées par un message ordinaire. V12 n’a toutefois pas rendu publique la méthode précise permettant de reproduire l’attaque. Le média Kod.ru rapporte par ailleurs qu’aucune confirmation indépendante de la démonstration n’a été publiée.
« Ce problème dans Telegram pour Android a été corrigé hier, et la mise à jour a été déployée pour tous les utilisateurs plus tôt dans la journée. »
Telegram a publié cette déclaration le 11 novembre. D’après dev.ua, aucune attaque réelle n’avait été détectée au moment du signalement. La plateforme affirme donc avoir réglé le défaut, mais l’épisode rappelle qu’une application de messagerie peut constituer un point d’entrée vers les autres données et services utilisés sur un même smartphone.
Pourquoi les applications crypto sont concernées
Bybit estime qu’un téléphone compromis pourrait exposer d’autres applications installées sur l’appareil. Les applications d’échange et de portefeuille de cryptomonnaies sont souvent utilisées sur les mêmes smartphones que Telegram, ce qui explique la portée de son avertissement. L’enjeu est renforcé par les fonctions financières intégrées à l’écosystème de la messagerie.
Les widgets de Telegram intègrent en effet des paiements en Gram, le jeton de la blockchain TON, auparavant appelé Toncoin, au moyen du portefeuille « self-custody » de l’application. Ce terme désigne un portefeuille dont l’utilisateur conserve lui-même le contrôle : aucune entreprise ne peut annuler un transfert. Selon TokenPost, Pavel Durov a indiqué que plus d’un million de ces portefeuilles avaient été activés en moins de 48 heures.
| Élément | Information rapportée |
|---|---|
| Application concernée | Telegram pour Android |
| Origine du problème | Widgets envoyés par des bots |
| Correctif | Telegram affirme l’avoir déployé le 11 novembre |
| Recommandation | Bybit demande une mise à jour immédiate |
Dev.ua ajoute qu’un code exécuté avec les droits de Telegram pourrait, en théorie, accéder aux données permettant de maintenir une session connectée. Dans ce scénario, l’authentification à deux facteurs ne protégerait pas nécessairement une session déjà ouverte. Cette possibilité est présentée comme théorique dans les éléments rapportés et ne constitue pas la confirmation d’un vol de comptes ou de fonds.
- Telegram affirme que la faille Android est corrigée.
- Bybit recommande à ses utilisateurs de mettre à jour l’application sans attendre.
- Aucune attaque réelle n’avait été détectée selon les informations relayées par dev.ua.
