Telegram贴纸漏洞已修复 旧版客户端仍有风险

安全机构Zero Day Initiative披露，Telegram旧版客户端的动画渲染库存在一处中等严重级别漏洞，编号CVE-2026-111105。攻击者可制作恶意动画贴纸或恶意文件，借该漏洞在用户设备上执行非法代码，导致设备被入侵、信息泄露。问题出在旧版客户端的渲染组件，不在账号密码层面，更新客户端即可消除。 触发条件比较明确：漏洞不会自动攻击，只有用户主动点击、打开陌生可疑的贴纸或链接文件时才会中招，整体门槛较高。也就是说，仅接收消息、不点开可疑内容，风险有限；但只要点开，恶意代码就有机会在设备上运行。“看到不认识的贴纸顺手点一下”这类习惯需要改掉。 修复是从底层组件替换完成的：Telegram官方已将客户端动画渲染库从rlottie整体迁移至tlottie，从源头封堵漏洞。安装并更新至官方最新客户端的用户已不受影响。仍在使用旧版的应立即升级；使用第三方修改版、破解版客户端的，升级通道不可靠，建议卸载后从官方渠道重装，否则可能长期停留在带漏洞的版本上。 如果此前点开过来源不明的贴纸或文件，可留意两类迹象：设备出现异常，或账号被异地登录。发现异常应立即修改密码，并在登录设备列表中检查、移除不认识的设备。日常防范只有两条：来源不明的动画贴纸和文件不要点开，尤其是陌生账号单独发来、以贴纸或表情包为名的文件；客户端保持官方最新版本。