ثغرة ويدجت تيليجرام: هل Telegram آمن وكيف تحدّثه

ما هي ثغرة ويدجت تيليجرام؟

ثغرة ويدجت تيليجرام مجموعة أخطاء في المحرك الذي يشغّل ويدجت الرسائل التفاعلية الجديدة في Telegram، ويقول الباحثون إنها أتاحت تشغيل شيفرة على جهاز المستخدم في الإصدارات القديمة من التطبيق ^[7]. قدّمت Telegram الويدجت في Bot API 10.4 يوم 9 نوفمبر 2026 ^[1]. وأعلنها Pavel Durov مؤسس Telegram في اليوم التالي بعبارة «يمكن لأي رسالة في Telegram أن تصبح تطبيقاً الآن»، ووصف الويدجت بأنها تفاعلية ومرسومة بشكل أصلي وبحجم أقل من 4 KB ^[2].

الويدجت برنامج صغير يُرسل داخل رسالة. ولتشغيله تضم تطبيقات Telegram محرك JavaScript مدمجاً اسمه QuickJS ^[7][8]. وأي محرك يشغّل شيفرة قادمة من الخارج هدف محتمل، لأن خطأً فيه قد يتيح لبرنامج مصنوع بعناية أن يخرج من الصندوق الذي يُفترض أن يبقى داخله.

في 11 نوفمبر نشر الباحثان الأمنيان V12 منشوراً بعنوان «Any telegram message can now become RCE»، أي تنفيذ شيفرة عن بُعد، ونشرا قيمة تجزئة تشفيرية ومقطع فيديو توضيحياً ^[3]. ووصف تقرير علني للباحث davtur19 خطأً في المحلل داخل QuickJS-ng إضافة إلى عدة أخطاء أخرى في المحرك على Android، وأورد أهمها مع درجتي خطورة CVSS هما 9.6 و8.8 ^[7].

فيما يلي: الخطر على المستخدمين العاديين وما ينبغي فعله. ولا تُذكر هنا أي تفاصيل عن كيفية إعادة إنتاج الهجوم.

ما تطبيقات Telegram وإصداراتها المتأثرة؟

بحسب تقرير الباحث، الإصدارات المتأثرة هي Telegram لنظام Android بالبناءات 72889 و72929 و73029 و73039، وTelegram لنظام iOS 13.2، وTelegram Desktop 7.4.0، وTelegram لنظام macOS 13.1، وكلها حلّت محلها إصدارات أحدث الآن ^[7]. ويقول التقرير نفسه إن كل مشكلة يوردها أُصلحت في الإصدارات الحالية، وإن الإصلاحات في نسخة Telegram الخاصة من QuickJS ^[7].

يسجّل مشروع صندوق الحماية للويدجت لدى Telegram، الذي يحوي الشيفرة المشتركة للويدجت، إصلاحاته علناً. فالإصدار 0.6.4 المؤرخ في 10 نوفمبر يذكر خمسة إصلاحات لأخطاء الاستخدام بعد التحرير والكتابة خارج الحدود؛ ويقول إن أحد الأخطاء التي يغلقها أُبلغ عنه في Telegram Android 13.2.1 بوصفه تنفيذاً لشيفرة أصلية من سكربت ويدجت ^[8]. أما الإصدار 0.6.5 المؤرخ في 12 نوفمبر فيضيف حدّاً قدره 1,024 مستوى لعمق تداخل عناصر الويدجت ^[8].

وبالنسبة إلى Telegram Desktop، تُظهر قائمة الإصدارات العلنية سلسلة تحديثات سريعة: 7.4.0 في 5 نوفمبر الذي أضاف ويدجت HTML في البوتات، ثم 7.4.1 و7.4.2 و7.4.3 في 12 نوفمبر و7.4.4 في 13 نوفمبر ^[9]. ويلخص الجدول أدناه المعلن حتى الآن.

هل Telegram آمن للاستخدام الآن؟

الأخطاء التي نشرها الباحثون أُصلحت في الإصدارات الحالية، لكن ادعاءً جديداً بشأن تطبيق سطح المكتب في 13 نوفمبر لم يُحسم، لذلك فالأسلم أن تُبقي كل تطبيقات Telegram محدّثة وتتجنب البوتات المجهولة ^[5][7]. فالأخطاء التي نشرها الباحثون أُصلحت في الإصدارات الحالية، وتقول Telegram إن إصلاح Android وصل إلى جميع المستخدمين في 11 نوفمبر، ولم تُنشر علناً أي هجمات على المستخدمين العاديين حتى 13 نوفمبر 2026 ^[4][7][10].

ويأتي التحفظ من الباحثين أنفسهم. ففي منشور 13 نوفمبر رأى V12 أن «السماح بـ QuickJS (دون عزل!) في الرسائل يوسّع سطح الهجوم بشكل هائل»، أي أنه قد تُكتشف أخطاء جديدة حتى بعد إصلاح الأولى ^[5]. ونقل CyberSIXT عن الباحث Joel Eriksson أن المحرك يعمل داخل عملية Telegram نفسها ^[10]. ولم تنشر Telegram نشرة أمنية ولا معرّفات CVE للإصلاحات ^[10]. وأفاد المنفذ الروسي Kod.ru في 13 نوفمبر، نقلاً عن Gram News، بأن Telegram أوقفت من جهة الخادم إرسال ويدجت HTML لجميع البوتات، بينما تواصل الويدجت التي وصلت بالفعل عملها؛ ولم نعثر على تأكيد من Telegram نفسها ^[11].

أما من هم أكثر عرضة للخطر، كالصحفيين والناشطين وكل من قد يُستهدف هاتفه، فالمعيار أعلى. حدّث Telegram يومياً هذا الأسبوع، وتجنّب البوتات المجهولة تماماً، وفكّر في نقل المحادثات الحساسة إلى تطبيق يفعّل التشفير من طرف إلى طرف افتراضياً. ويقارن دليل بويام «Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks» بين الخيارات.

فيم يختلف Durov والباحثون؟

جوهر الخلاف هو: هل يمكن مهاجمة مستخدم بمجرد تلقيه رسالة، وهل بقي تطبيق Windows مكشوفاً بعد الإصلاحات الأولى؛ والنقطتان محل خلاف حتى 13 نوفمبر 2026 ^[5][6][7].

موقف Durov المنشور في 13 نوفمبر: «المشكلة غير موجودة. لم يكن ممكناً اختراق أحد بمجرد تلقي رسالة. كان عليك تشغيل خدمة من طرف ثالث (3rd party) أولاً. وحتى هذا مُصلح بالكامل من جهة الخادم.» ^[6] ودعا أيضاً إلى محاولة اختراق حسابه هو ^[6].

موقف الباحثين: يقول تقرير davtur19 إن الويدجت تعمل عندما تُرسم الرسالة على الشاشة دون حاجة إلى نقرة ^[7]. ونشر V12 في 13 نوفمبر عرضاً توضيحياً ثانياً يقول إنه يعمل على عميل Windows «المُصلَح» ^[5].

ويمكن التوفيق بين التصريحين جزئياً. تقول وثائق Telegram لـ Bot API إن الويدجت في الإنتاج لا تُرسل إلا إلى المحادثات الخاصة ^[1]، ويلاحظ CyberSIXT أن البوتات لا تستطيع مراسلة مستخدمين لم يشغّلوها ^[10]. وتذكر تقارير صحفية عن عروض V12 أن المستخدم فتح أولاً محادثة البوت وضغط Start ^[11][12]. فالطريق الذي أُظهر كان بوتاً شغّله المستخدم؛ ويقول التقرير إن الويدجت متى وصلت تعمل دون نقرة أخرى ^[7]. وهل يُعدّ ذلك «دون نقر» هو موضع الجدل. أما ادعاء 13 نوفمبر بشأن عميل سطح المكتب فلم يتحقق منه طرف مستقل، ولذلك يُعرض هنا بوصفه ادعاءً.

كيف أحدّث تيليجرام على Android وiPhone والحاسوب؟

ثبّت أحدث إصدار من Telegram من المتجر الرسمي أو من telegram.org على كل جهاز تستخدمه، ثم أعد تشغيل التطبيق ^[7][9]. يتحدّث كل تطبيق على حدة، فالهاتف المُصلَح لا يحمي تطبيق سطح مكتب قديماً على الحساب نفسه.

1. Android: افتح Google Play وابحث عن Telegram واضغط تحديث. وإذا ثبّتَّه من موقع Telegram نفسه فنزّل أحدث إصدار من الموقع الرسمي ذاته.
2. iPhone وiPad: افتح App Store وانتقل إلى صفحة حسابك وحدّث Telegram، أو فعّل التحديث التلقائي للتطبيقات.
3. Windows وLinux (Telegram Desktop): استخدم فحص التحديث داخل الإعدادات، أو نزّل أحدث إصدار من telegram.org؛ وحتى 13 نوفمبر 2026 أحدث إصدار علني هو 7.4.4 ^[9].
4. macOS: حدّث Telegram من Mac App Store أو من داخل التطبيق بحسب مكان تثبيته.
5. Telegram Web: أعد تحميل الصفحة ليحمّل المتصفح أحدث شيفرة.

بعد التحديث افتح الإعدادات ثم الأجهزة (أو الجلسات النشطة) وأنهِ أي جلسة لا تعرفها. هذه الخطوة لا تصلح أخطاء الويدجت، لكنها تغلق أبواباً إذا حدث أي خلل آخر.

كيف أحمي نفسي من بوتات Telegram وويدجتها الخبيثة؟

لا تشغّل بوتات لا تعرفها، واحذف أي بوت يرسل محتوى تفاعلياً غير متوقع واحظره ^[10]. فالويدجت في الإنتاج لا تُرسل إلا إلى المحادثات الخاصة ^[1]، وتذكر تقارير صحفية عن عرض V12 أن المستخدم شغّل البوت أولاً ^[11][12]، ولذلك فإن اعتياد الحذر قبل زر البدء يُزيل الطريق الذي أُظهر.

• شغّل فقط بوتات تثق بها: التي تديرها خدمة تستخدمها بالفعل ويرتبط بها موقعها الرسمي.
• احذر الروابط التي تعد بـ Telegram Premium مجاناً أو بإسقاطات عملات مشفرة أو هدايا أو «توثيق». فهذه هي الطُّعوم المعتادة لحمل أحدهم على فتح بوت.
• لا تثبّت تطبيقات Telegram معدّلة أو غير رسمية. فقد تتأخر عن الإصلاحات الأمنية الرسمية.
• فعّل التحقق بخطوتين بكلمة مرور قوية، حتى لا تكفي جلسة مسروقة أو رمز SMS وحده للاستيلاء على حسابك.
• أبقِ نظام تشغيل هاتفك محدّثاً؛ فهو يحدّ مما يمكن أن يصل إليه أي خطأ في تطبيق.

وإذا ظننت أن حسابك سُلب بالفعل، فاتبع الخطوات في دليل بويام «WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down».

هل ستظهر أخطاء أخرى في ويدجت Telegram؟

من المرجح أن يُبلَّغ عن أخطاء أخرى، لأن محرك الويدجت جديد وعلني ويخضع الآن لانتباه شديد من الباحثين ^[5][8]. نشر مشروع صندوق الحماية للويدجت لدى Telegram أربعة إصدارات بين 9 و12 نوفمبر، اثنان منها موصوفان بأنهما إصلاحان أمنيان أو تقويةٌ لمحرك QuickJS ^[8]، وأصدر تطبيق سطح المكتب أربعة تحديثات في ثمانية أيام ^[9].

علامات تستحق المتابعة: نشرة أمنية رسمية من Telegram، ومعرّفات CVE لأخطاء QuickJS، وتأكيد مستقل أو نفي لادعاء Windows في 13 نوفمبر، وأي تقرير عن إساءة استخدام الويدجت ضد مستخدمين حقيقيين ^[5][10]. وإلى ذلك الحين فأسلم نهج هو التعامل مع ويدجت البوتات المجهولة بوصفها شيفرة غير موثوقة، وهي كذلك فعلاً.