تحديث تيليجرام: كيف تثبّت إصلاح ثغرة الودجات الأمني

ما إصدار تيليجرام الذي يُصلح ثغرة الودجات؟

يوجد إصلاح الودجات في Telegram لنظام Android 13.2.2 أو أحدث وفي Telegram Desktop 7.4.3 أو أحدث؛ أما على iPhone وiPad وMac فثبّت أحدث إصدار من App Store أو Mac App Store، لأنه لم يُنشر رقم بناء مُصلَح محدد ^[1][2]. تأتي هذه الأرقام من الشيفرة المفتوحة المصدر لتيليجرام وقوائم إصداراتها كما قرأها صحفيون مستقلون، لا من نشرة أمنية صادرة عن تيليجرام، إذ لم تصدر أي نشرة ^[2][7].

كانت الثغرة في QuickJS، محرك JavaScript الصغير الذي يشغّل الودجات التفاعلية التي أضافتها تيليجرام للبوتات مع Bot API 10.4 في 9 نوفمبر 2026 ^[9]. وفي 11 نوفمبر نشرت شركة الأمن V12 مقطع فيديو تُشغّل فيه رسالة ودجت الآلة الحاسبة على هاتف Android، وهي العلامة المعتادة على أن شيفرة غريبة تعمل على الجهاز ^[1]. وربطت Gram News هذا التقرير بإصلاح في QuickJS مؤرخ في 10 نوفمبر، قبل 21 دقيقة من إعلان بافل دوروف فتح الودجات لجميع البوتات، وتقول إن الإصلاح صدر في Telegram لنظام Android الإصدار 13.2.2 (البناء 7303) ^[1].

احتاج Telegram Desktop إلى محاولتين. فقد أفاد موقع Neurocrat، الذي قارن بين الإصدارات، بأن الإصدار 7.4.2 الصادر في 11 نوفمبر تضمّن خمسة إصلاحات أخرى للذاكرة لكنه خلا من الرقعة الأساسية التي لم تصل إلا مع 7.4.3 ^[2]. وتُظهر قائمة الإصدارات العامة الإصدار 7.4.3 في 12 نوفمبر و7.4.4 في 13 نوفمبر، ووصف كليهما مقتصر على عبارة "Bug fixes and other minor improvements" ^[3].

أما أجهزة Apple فالصورة فيها أقل دقة. يذكر أرشيف الباحثين Telegram لنظام iOS 13.2 وTelegram لنظام macOS 13.1 ضمن الإصدارات المتأثرة، ويقول إن الأخطاء المنشورة مُصلحة في الإصدارات الحالية ^[8]. ولم يعثر Neurocrat على أرقام بناء تتضمن الرقع لأجهزة iPhone أو Mac ^[2]. والقاعدة العملية بسيطة: أيًّا كان جهازك، فأحدث إصدار رسمي هو ما تحتاجه.

هذا الدليل هو التتمة العملية خطوةً بخطوة لدليل Pouyam بعنوان Telegram Widgets Flaw: Is Telegram Safe and How to Update، الذي يشرح الثغرة نفسها والخلاف حول مدى خطورتها.

كيف أعرف إصدار تيليجرام المثبّت لديّ؟

على Android يظهر رقم الإصدار في أسفل شاشة الإعدادات في تيليجرام، وعلى الأجهزة الأخرى تجده في إعدادات التطبيق أو في معلومات التطبيق في النظام ^[1]. قارنه بالجدول أدناه، وإن كان رقمك أقل من الرقم المذكور فحدّث التطبيق قبل فتح أي محادثة مع بوت.

في Telegram Desktop لنظامي Windows وLinux افتح الإعدادات ثم "متقدم"؛ يعرض قسم الإصدار والتحديثات الإصدار المثبّت ويتيح البحث عن إصدار جديد. وعلى iPhone أو iPad يعرض النظام إصدار التطبيق في الإعدادات، ثم عام، ثم سعة تخزين iPhone (أو iPad)، ثم Telegram. وعلى Mac افتح قائمة التطبيق واختر "حول Telegram".

هناك تفصيلتان تسببان الالتباس كثيرًا. الأولى أن رقم البناء ورقم الإصدار على Android شيئان مختلفان: تذكر Gram News الإصدار المُصلَح 13.2.2 ورقم البناء 7303 بين قوسين ^[1]. ويشير أرشيف الباحثين إلى إصدارات Android القديمة برموز بناء أطول مثل 72889 و72929 و73029 و73039 ^[8]. والثانية أن هناك تطبيقين لتيليجرام على Mac: تطبيق Telegram لنظام macOS من Mac App Store، الذي يذكر الباحثون أن الإصدار 13.1 منه كان متأثرًا، وTelegram Desktop، وهو التطبيق نفسه الموجود على Windows ويتبع ترقيم 7.4.x ^[3][8].

يستحق التحقق من الإصدار العناء حتى لو كان هاتفك يحدّث التطبيقات تلقائيًا، فقد تتأخر التحديثات التلقائية أيامًا بسبب امتلاء التخزين أو وضع توفير البطارية أو الاتصال المحدود أو تسجيل الخروج من حساب المتجر.

كيف أحدّث تيليجرام على Android؟

حدّث تيليجرام من Google Play، أو من موقع تيليجرام نفسه إن كنت ثبّتّه من هناك، وتأكد أن الإصدار الظاهر بعد ذلك هو 13.2.2 أو أعلى ^[1]. أعلنت تيليجرام في 11 نوفمبر 2026 أن إصلاح Android "نُشر لجميع المستخدمين"، لذا يُفترض أن يكون التحديث معروضًا في المتجر بالفعل ^[10].

1. افتح Google Play، واضغط على صورة ملفك الشخصي، ثم "إدارة التطبيقات والجهاز"، وابحث عن Telegram ضمن التحديثات المتاحة، ثم اضغط "تحديث".
2. إن كنت ثبّتّ تيليجرام من ملف APK على telegram.org، فنزّل أحدث ملف APK من الموقع الرسمي نفسه وثبّته فوق القديم؛ وستبقى محادثاتك كما هي.
3. افتح تيليجرام، وانتقل إلى الإعدادات، ومرّر إلى الأسفل لقراءة رقم الإصدار ^[1].
4. أعد تشغيل التطبيق مرة واحدة حتى يُستخدم محرّك الودجات الجديد.

تلفت Gram News إلى أن إصلاحات المحرّك الخمسة الإضافية في widget-sandbox 0.6.4، التي نُشرت في وقت لاحق من يوم 10 نوفمبر، لا يبدو أنها مُضمّنة في الإصدار 13.2.2 نفسه ^[1][5]. وهذا سبب لمواصلة التحديث بعد الحد الأدنى، إذ قد يحمل كل بناء أحدث مزيدًا من إصلاحات المحرّك المدرجة في سجل التغييرات العام لتيليجرام ^[5].

تجنّب مواقع تنزيل ملفات APK والعملاء المعدّلة والنسخ غير الرسمية من نوع "plus" أو "gold"، فهي لا تُبنى من شيفرة تيليجرام الحالية وفق جدولها، وقد يصلها الإصلاح الذي يبلغ التطبيق الرسمي متأخرًا أو لا يصلها أبدًا. ويشرح دليل Pouyam بعنوان Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks لماذا تمثّل النسخ غير الرسمية خطرًا أمنيًا بحد ذاتها.

كيف أحدّث Telegram Desktop على Windows وLinux؟

افتح الإعدادات ثم "متقدم" وابحث عن تحديث في قسم الإصدار والتحديثات، أو نزّل أحدث بناء من telegram.org؛ تحتاج إلى 7.4.3 أو أحدث، و7.4.4 هو أحدث إصدار حتى 15 نوفمبر 2026 ^[2][3]. كان تطبيق سطح المكتب، في إصداره 7.4.0، ضمن العملاء الذين أدرجهم الباحثون بوصفهم متأثرين ^[8].

1. في Telegram Desktop افتح القائمة، ثم الإعدادات، ثم "متقدم".
2. فعّل التحديث التلقائي إن كان معطّلًا، ثم اختر خيار البحث عن تحديثات. وعند انتهاء التنزيل أعد تشغيل تيليجرام حين يُطلب منك ذلك.
3. تحقق من رقم الإصدار مجددًا في القسم نفسه، ويجب أن يكون 7.4.3 أو أعلى ^[3].
4. إن كنت ثبّتّ تيليجرام عبر Microsoft Store أو مدير حزم في Linux أو Flatpak أو Snap، فحدّثه عبر القناة نفسها؛ فقد تصل هذه الإصدارات بعد النشر على GitHub بقليل ^[3].

على مستخدمي Windows اتخاذ خطوة إضافية هذا الأسبوع. ففي 13 نوفمبر ادّعى باحثو V12 وجود مسار آخر لتنفيذ الشيفرة في ما سمّوه عميل Windows المُرقَّع، وهو ادعاء ورد في منشور واحد ولم نجد له تأكيدًا مستقلًا في المصادر التي جرى فحصها ^[11]. وصدر Telegram Desktop 7.4.4 لاحقًا في 13 نوفمبر نفسه من دون ملاحظات مفصلة ^[3]. وما دامت هذه المسألة مفتوحة، فالبقاء على أحدث بناء هو الحماية الوحيدة المتاحة للمستخدم العادي.

إن كنت تستخدم تيليجرام على حاسوب عمل لا تستطيع تحديثه بنفسك، فاطلب من قسم تقنية المعلومات تثبيت 7.4.4 أو أحدث، وإلى ذلك الحين لا تفتح محادثات مع بوتات على ذلك الجهاز.

كيف أحدّث تيليجرام على iPhone وiPad وMac؟

ثبّت أحدث إصدار من تيليجرام من App Store أو Mac App Store؛ إذ يقول الباحثون إن الأخطاء التي وجدوها في Telegram لنظام iOS 13.2 وTelegram لنظام macOS 13.1 مُصلحة في الإصدارات الحالية، مع أنه لا يوجد رقم بناء مُصلَح محدد منشور ^[2][8]. لم تحدد تيليجرام ولا التقارير المستقلة إصدارًا أدنى آمنًا لأجهزة Apple، وتشير CryptoSlate إلى أن أرشيف الباحثين لا يحدد مثل هذا الإصدار لكل عميل ^[2][4].

1. iPhone وiPad: افتح App Store، واضغط على صورة حسابك في الأعلى، ومرّر إلى قائمة التحديثات، ثم اضغط "تحديث" بجانب Telegram. ولتجنّب تكرار ذلك، فعّل التحديثات التلقائية للتطبيقات في إعدادات App Store.
2. Mac، تطبيق Telegram لنظام macOS: افتح Mac App Store، واختر "التحديثات"، وحدّث Telegram.
3. Mac، تطبيق Telegram Desktop: هو التطبيق نفسه الموجود على Windows؛ حدّثه من الإعدادات ثم "متقدم"، وتحقق من أنه يعرض 7.4.3 أو أحدث ^[3].
4. بعد التحديث أغلق التطبيق تمامًا ثم افتحه من جديد.

إذا أفاد App Store بأن تيليجرام محدَّث، فلديك بالفعل أحدث بناء عام، ولا يوجد ما يمكن للمستخدم العادي تثبيته أكثر من ذلك؛ وتبقى الحماية في السلوك: لا تشغّل بوتات لا تعرفها ^[6].

وعلى من يحتاجون إلى حماية أقوى، كالصحفيين والناشطين، إبقاء نظام iOS على iPhone محدّثًا أيضًا، فتحديث نظام التشغيل يحدّ مما يمكن أن يبلغه أي خلل في تطبيق، أيًّا كان تطبيق المراسلة.

ما الذي تغيّر في Telegram لنظام Android 13.2.2؟

إلى جانب إصلاح المحرّك، ينقل Telegram لنظام Android 13.2.2 كل شيفرة الودجات إلى عملية منفصلة ومحكمة الإغلاق، بحيث ينتهي أي خلل مستقبلي من النوع نفسه في مكان لا يصل إلى حسابك أو محادثاتك أو مفاتيحك ^[1]. وبحسب Gram News، يمسّ إيداع الإصدار 96 ملفًا ونحو 6.800 سطر، معظمها لهذا الحد الفاصل الجديد ^[1].

ووفقًا للتوثيق الموجود في شيفرة العميل كما لخّصته Gram News، تشغّل العملية الجديدة المسماة :widgets شيفرة JavaScript الخاصة بالودجة ومدقّقها ومحرّك عرضها ^[1]. وليست لهذه العملية أذونات Android ولا شبكة ولا وصول إلى ملفات التطبيق ^[1]. ولم تعد العملية الرئيسية لتيليجرام تحمّل مكتبة المحرّك إطلاقًا، ويُعامَل كل ما تعيده عملية الودجات على أنه غير موثوق ويُفحص من جديد؛ فمثلًا يُسمح برابط واحد لكل نقرة حقيقية ^[1].

ويعلو ذلك كله مرشّح لاستدعاءات النظام يُسمّى seccomp. وهو يعمل حاليًا في معظمه بوضع التسجيل، أي يسجّل الاستدعاءات المحظورة بدل أن يمنعها، لكن تشغيل البرامج وإنشاء عمليات جديدة مرفوضان بالفعل ^[1]. وتخدم عملية واحدة جميع الودجات بدل عملية لكل بوت؛ وتقول Gram News إن فكرة عملية منفصلة لكل بوت أُسقطت لأن كل واحدة ستستهلك نحو 25 MB من الذاكرة ^[1].

وهذا مهم لمعرفة مدى الحماية التي يوفرها رقم الإصدار. فقبل هذا التغيير، أشار الباحث جويل إريكسون (Joel Eriksson) إلى أن المحرّك كان يعمل داخل عملية تيليجرام نفسها، فيحصل أي استغلال للمحرّك على صلاحيات التطبيق ^[7]. ويذكر أرشيف الباحثين تنفيذ شيفرة على مستوى التطبيق في بعض إصدارات Android القديمة، لكن نتائج بقيت محصورة داخل عملية ودجات معزولة في إصدارات لاحقة مثل 72979 و72989 ^[4]. وباختصار، تزيل الإصدارات الأحدث الأخطاء المنشورة وتحدّ في الوقت نفسه من الضرر الذي قد يُحدثه أي خلل جديد.

هل ما زالت البوتات قادرة على إرسال الودجات بعد الإصلاح؟

ليس في الوقت الحالي: ففي 13 نوفمبر 2026 أكّد أحد المساهمين في مستودع Bot API لتيليجرام أن البوتات العامة غير مسموح لها باستخدام الودجات حتى في المحادثات الخاصة ^[4]. وبحسب CryptoSlate، بدأ المطورون الذين كانوا يرسلون الودجات يتلقّون رسالة الخطأ INPUT_MEDIA_WIDGET_NOT_ALLOWED ^[4].

وقال مؤسس تيليجرام بافل دوروف في 13 نوفمبر: "No one could be hacked just by receiving a message" (لا يمكن اختراق أحد بمجرد تلقّي رسالة)، وإن المستخدم "had to actively start a third-party service first"، وإن "Even that is fully patched server-side" ^[6]. ويشير القيد المفروض من جهة الخادم وتصريحه إلى الاتجاه نفسه: فبحسب دوروف، تطلّب المسار خدمة طرف ثالث كان المستخدم قد شغّلها أولًا ^[4][6].

لكن ذلك لا يجعل تحديث التطبيق اختياريًا. فتلاحظ CryptoSlate أن القيد لا يوضح كيف تُعرض الودجات التي سبق تسليمها، ولا سبب تضييق الوصول، ولا موعد عودته ^[4]. وعندما تُفتح الودجات للبوتات مجددًا، لن يحمل المحرّك المُصلَح إلا التطبيق المحدَّث. كما يمكن لشيفرة الودجة أن تفعل أكثر من عرض المحتوى: فالتصميم الموثّق لتيليجرام يتيح للودجات الاستعلام عن بطاقة محفظة TON الخاصة بالمستخدم أو طلب بيانات موقّعة بالمحفظة، وهذا سبب إضافي لإبقاء العميل محدّثًا ^[4].

وتواصل الشيفرة المشتركة للودجات التغيّر أيضًا. فقد نشر مشروع widget-sandbox التابع لتيليجرام الإصدار 0.6.4 في 10 نوفمبر مع خمسة إصلاحات لأمان الذاكرة، ثم الإصدار 0.6.5 في 12 نوفمبر الذي يحدّ عمق تداخل عناصر الودجة بـ1.024 مستوى ^[5]. ولا يحصل كل عميل على هذه التغييرات إلا مع إصدار جديد من التطبيق ^[5].

ماذا أفعل إذا لم أستطع تحديث تيليجرام فورًا؟

إذا لم تتمكن بعدُ من تثبيت الإصدار المُصلَح، فلا تفتح محادثات مع بوتات لا تعرفها، ولا تشغّل أي بوت جديد حتى تحدّث التطبيق ^[1][6]. وتنصح Gram News بتجنّب المحادثات التي ترسل فيها بوتات مجهولة ودجات إلى أن يُحدَّث التطبيق، لأن شيفرة الودجة تعمل بمجرد ظهور فقاعتها على الشاشة ^[1].

• تحقق من التخزين أولًا: امتلاء الهاتف هو السبب الأكثر شيوعًا لفشل التحديث بصمت. أفرغ بعض المساحة وحاول مجددًا.
• إن لم يكن Google Play متاحًا على هاتفك أو في بلدك، فاستخدم ملف APK الرسمي من telegram.org بدل المواقع المرآة.
• على حاسوب مشترك أو حاسوب عمل لا يمكنك تحديثه، استخدم تيليجرام على هاتف محدَّث بدلًا منه وسجّل الخروج من جلسة سطح المكتب القديمة.
• افتح الإعدادات ثم "الأجهزة"، وأنهِ أي جلسة لا تعرفها. هذا لا يُصلح المحرّك، لكنه يحدّ من الضرر إن كان الحساب قد تعرّض للاختراق بطريقة أخرى.
• فعّل التحقق بخطوتين بكلمة مرور قوية، حتى لا يكفي رمز دخول مسروق وحده للاستيلاء على الحساب.

حتى 15 نوفمبر 2026، تقول CryptoSlate إن عروض الباحثين لا تثبت سرقة أصول ولا استغلالًا خبيثًا واسع النطاق، ويقول الباحثون إن الأخطاء التي نشروها أصابت إصدارات قديمة صارت مُصلَحة في الإصدارات الحالية ^[4][8]. وهذا مطمئن لكنه ليس ضمانًا، لأن تيليجرام لم تقل ما إذا كانت الثغرة قد استُغلت قبل الإصلاح ^[7].

إذا كنت تظن أن حسابك قد سُرق، فاتبع دليل Pouyam بعنوان WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. وإن نسيت كلمة مرورك السحابية أثناء تأمين الحساب، فراجع Forgot Your Telegram Two-Step Password? Recovery With or Without Email.