🔴 Telegram 0-Click RCE 취약점 분석 보고서

ZDI-CAN-30207 | CVSS 9.8 CRITICAL | 미패치 (2026-03-30 기준)

작성자: Dennis Kim (@gameworkerkim)
작성일: 2026년 3월 30일
연락처: gameworker@gmail.com

---

📋 요약 배지

---

1. 취약점 개요 (Executive Summary)

이탈리아 국가사이버보안청(ACN)의 CSIRT Italy가 2026년 3월 말 공식 경보를 발령한 Telegram Android/Linux 플랫폼의 제로클릭(0-Click) 원격코드실행(RCE) 취약점입니다. Trend Micro Zero Day Initiative(ZDI)의 연구원 **Michael DePlante(@izobashi)**가 발견하였으며, 내부 식별자 ZDI-CAN-30207이 부여되었습니다.

본 취약점은 조작된 애니메이션 스티커(Animated Sticker) 또는 미디어 파일을 피해자에게 전송하는 것만으로 공격자가 피해 장치에서 임의의 코드를 실행할 수 있습니다. 사용자의 어떠한 행위(클릭, 다운로드 수락 등)도 필요하지 않으며, 이는 메신저 보안 분야에서 가장 위험한 취약점 유형 중 하나입니다.

텔레그램의 공식 피드백: it's fake, no real vulnerability is reported 임을 참고하세요

핵심 정보

항목	내용
취약점 식별자	ZDI-CAN-30207 (CVE 미부여)
CVSS v3.1 점수	9.8 / 10 (Critical)
CVSS 벡터	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
취약점 유형	Zero-Click Remote Code Execution (RCE)
발견자	Michael DePlante (@izobashi) / Trend Micro ZDI
영향 플랫폼	Telegram Android, Telegram Linux
Telegram 통보일	2026년 3월 26일
공개 예정일	2026년 7월 24일 (ZDI 표준 90-120일 정책)
패치 현황	⚠️ 미패치 (No official patch as of 2026-03-30)
PoC 공개	미공개 (비공개 Exploit 존재 가능성)
실제 악용 여부	미확인 (No confirmed in-the-wild exploitation)
CSIRT 경보	CSIRT Italy (ACN) 공식 경보 발령

---

2. 기술적 분석 (Technical Analysis)

2.1 공격 벡터 및 메커니즘

공격의 핵심은 Telegram이 수신한 미디어 파일(특히 애니메이션 스티커)에 대해 미리보기(Preview)를 자동 생성하는 과정에 있습니다. 이 파싱 단계에서 조작된 파일이 취약한 코드 경로를 트리거하여 RCE로 이어집니다.

공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨

2.2 CVSS v3.1 상세 분석

메트릭	값	의미
Attack Vector (AV)	Network	인터넷을 통해 원격에서 공격 가능
Attack Complexity (AC)	Low	특수 조건이나 복잡한 우회 기법 불필요
Privileges Required (PR)	None	공격자 계정이나 특별 권한 불필요
User Interaction (UI)	None	피해자의 어떠한 행위도 필요 없음 (Zero-Click)
Scope (S)	Unchanged	취약한 컴포넌트 내에서 영향
Confidentiality (C)	High	메시지, 세션, 미디어 등 전체 기밀성 침해
Integrity (I)	High	시스템 파일 및 데이터 변조 가능
Availability (A)	High	서비스 중단 및 장치 가용성 침해

2.3 과거 유사 취약점과의 비교 — rlottie 라이브러리 분석

Telegram의 rlottie 라이브러리(애니메이션 스티커 렌더링 엔진)는 2021년 Shielder 연구팀에 의해 Android/iOS/macOS 버전에서 유사한 취약점(Heap Buffer Overflow, Stack Overflow, Type Confusion)이 다수 발견된 전력이 있습니다. 당시 취약점들은 최소한의 사용자 인터랙션이 필요했으나, ZDI-CAN-30207은 완전한 제로클릭을 달성한 점에서 더욱 심각합니다.

Telegram rlottie GitHub
⚠️ 대부분의 커밋이 7년 전으로, 지속적인 유지보수가 부재한 상태입니다.

rlottie는 C++14로 개발되었으며, 모던 C++의 특성상 추상화 레벨이 높고 디버깅이 쉽지 않습니다. GitHub 소스코드의 대부분 커밋 시기가 7년 전이라는 점에서 지속적인 유지보수가 빠진 상황과 이번 취약점 발생은 무관하지 않은 것으로 보입니다.

---

3. 위협 평가 (Threat Assessment)

3.1 영향 범위

Telegram은 전 세계 10억 명 이상의 활성 사용자를 보유하고 있습니다.

분류	내용
확인된 영향 플랫폼	Telegram for Android, Telegram for Linux
잠재적 영향 미확인	iOS, Windows, macOS 버전
취약 대상	Telegram을 통해 불특정 발신자로부터 메시지를 수신하는 모든 사용자

3.2 위협 행위자 분석

CVSS 9.8의 완전한 제로클릭 RCE 취약점은 역사적으로 국가 지원 사이버 공격 그룹(APT) 및 상업적 스파이웨어 개발자(NSO Group 등)의 주요 표적이 되어왔습니다.

• 🔴 국가 수준의 사이버 첩보 활동 (저널리스트, 정치인, 활동가 표적화)
• 🔴 ZDI 비공개 제출을 통한 사전 확보 후 제한적 활용
• 🔴 다크웹에서의 취약점 정보 거래 (러시아 보안 커뮤니티에서 판매 공고 포착)
• 🔴 패치 이전 기간 동안 APT 그룹의 전략적 사용 가능성

3.3 자동 다운로드 비활성화의 한계

⚠️ 중요: 자동 다운로드를 비활성화해도 이 취약점은 차단되지 않습니다.

취약점은 다운로드 완료 후의 파일 실행 단계가 아닌, 메시지 수신 시 자동으로 발생하는 미리보기 파싱 단계에서 트리거됩니다. 설정의 자동 다운로드 비활성화는 유효한 완화 수단이 되지 못합니다.

---

4. Telegram의 대응 현황

현재까지 Telegram 공식 측은 매우 이례적인 침묵을 유지하고 있습니다. ZDI는 2026년 3월 26일 Telegram에 취약점을 통보하였으며, 표준 책임 공개(Responsible Disclosure) 절차에 따라 2026년 7월 24일을 공개 기한으로 설정하였습니다.

Telegram 대변인은 이 취약점의 존재를 부인하였으나, ZDI와 CSIRT Italy의 공식 경보와 상반되며 업계 전문가들은 Telegram의 주장에 강한 의구심을 표명하고 있습니다.

항목	현황
Telegram 통보	2026년 3월 26일
Telegram 공식 패치	미발표
ZDI 공개 예정	2026년 7월 24일 (패치 미완료 시 전체 기술 상세 공개)
CSIRT Italy 경보	발령 완료 (공식 분석 및 완화 가이드 제공)
Telegram 공식 입장	취약점 존재 부인 (업계 전문가 반박 중)

---

5. 완화 방안 및 권고사항 (Mitigation & Recommendations)

5.1 즉각적 조치 (Immediate Actions)

• ❗ 고위험 사용자(기자, 정치인, 임원, 보안 담당자)는 공식 패치 발표 전까지 네이티브 Telegram(Android/Linux) 앱 사용 자제
• ✅ 가능한 경우 최신 브라우저의 Telegram Web(웹 버전) 사용으로 대체
• ✅ Telegram 프라이버시 설정에서 '모르는 사람'의 메시지 수신 제한 (그룹 초대 포함)
• ✅ 공식 채널을 통한 Telegram 긴급 보안 업데이트 모니터링
• ✅ 수신되는 모든 미디어 및 스티커를 잠재적 위협으로 취급

5.2 조직 차원의 권고

• 보안 정책에 Telegram 고위험 플랫폼 분류 및 사용 지침 업데이트
• 민감한 업무 통신을 위해 E2E 암호화 및 별도 보안 메신저 검토
• CSIRT Italy 및 ZDI 공식 채널을 통한 패치 발표 즉시 적용 체계 구축
• 사내 보안 인식 교육: 알 수 없는 발신자의 스티커/미디어 수신 위험 공지

5.3 탐지 및 모니터링

⚠️ 주의: IoC(Indicators of Compromise) 미공개 — 침해 여부 탐지 기능 극히 제한됨

현재까지 공식 IoC가 공개되지 않아 침해 여부 탐지가 매우 어렵습니다. 다음 이상 징후를 모니터링하시기 바랍니다:

• Telegram 프로세스에서 비정상적인 외부 네트워크 연결 발생
• Telegram 앱의 비정상적 충돌 또는 비정상적 메모리 사용 패턴
• 스티커/미디어 수신 직후 시스템 이상 동작 발생

---

6. 취약점 타임라인

날짜	이벤트
2026년 3월 26일	Michael DePlante(ZDI)가 Telegram에 취약점 통보
2026년 3월 26일	ZDI 포털에 ZDI-CAN-30207 등록 (Upcoming 카테고리)
2026년 3월 27일	Kaspersky, Positive Technologies 등 보안 커뮤니티 경보
2026년 3월 28일	CSIRT Italy(ACN) 공식 경보 발령 및 완화 가이드 제공
2026년 3월 29~30일	다크웹에서 취약점 정보 판매 공고 포착 (미확인)
2026년 3월 30일	본 보고서 작성 기준 — 패치 미발표, Telegram 부인 입장
2026년 7월 24일	ZDI 공개 예정일 (패치 미완료 시 전체 기술 상세 공개)

---

7. 결론 및 위험 판단

ZDI-CAN-30207은 메신저 보안 역사에서 가장 위험한 취약점 유형 중 하나입니다. CVSS 9.8의 완전한 제로클릭 RCE는 피해자가 아무것도 하지 않아도 장치가 완전히 장악될 수 있음을 의미합니다.

Telegram의 공식 부인에도 불구하고, ZDI(Trend Micro)의 신뢰성, CSIRT Italy의 공식 경보, 그리고 전 세계 보안 커뮤니티의 일관된 경고를 고려할 때 이 취약점을 무시하는 것은 매우 위험한 판단입니다.

특히 암호화폐 커뮤니티 및 러시아-우크라이나 전쟁 등에 Telegram이 폭넓게 사용되고 있기 때문에 이번 제로데이 취약점의 폭발적 파급력은 일반적인 메신저 취약점을 크게 상회합니다.

📌 본 리포트는 영어로 번역되어 Telegram 관계자에게 전달되었습니다.

---

❗ 최종 권고

고위험 사용자 및 조직은 공식 패치 발표 전까지 Telegram Android/Linux 네이티브 앱을 업무 통신에 사용하지 않도록 강력히 권고합니다.

---

8. 참고 출처 (References)

1. CSIRT Italy (ACN) 공식 경보: https://www.acn.gov.it/portale/w/telegram-rilevata-vulnerabilita-0-click
2. SecurityOnline 전문 분석: https://securityonline.info/telegram-critical-zero-click-vulnerability-zdi-can-30207/
3. RedHotCyber 기술 분석: https://www.redhotcyber.com/en/post/just-one-telegram-sticker-can-hack-you
4. Mezha.net 연구원 발표: https://mezha.net/eng/bukvy/researcher_discovered_critical_telegram/
5. Team D4rkn3ttz / @KNormal_Student 원본 보고: https://x.com/Team_D4rkn3ttz/status/2038264323794153850
6. Telegram rlottie 소스코드: https://github.com/TelegramMessenger/rlottie
7. Positive Technologies — Alexander Leonov 분석 코멘트
8. Kaspersky ICS CERT — Vladimir Daschenko 분석 코멘트

---

본 보고서는 공개된 보안 정보를 바탕으로 방어 목적으로 작성되었습니다.
This report is written for defensive purposes based on publicly available security information.