Telegram vidjet zəifliyi: təhlükəsizdirmi, necə yeniləmək

Telegram vidjet zəifliyi nədir?

Telegram vidjet zəifliyi Telegram-ın yeni interaktiv mesaj vidjetlərini işlədən mühərrikdəki xətalar toplusudur; tədqiqatçıların dediyinə görə, bu xətalar tətbiqin köhnə versiyalarında istifadəçi cihazında kodun işləməsinə imkan verirdi ^[7]. Telegram vidjetləri 9 noyabr 2026-da Bot API 10.4 ilə təqdim etdi ^[1]. Telegram-ın qurucusu Pavel Durov onları ertəsi gün “İstənilən Telegram mesajı artıq tətbiqə çevrilə bilər” sözləri ilə elan etdi və vidjetləri interaktiv, yerli şəkildə göstərilən və 4 KB-dan kiçik kimi təsvir etdi ^[2].

Vidjet mesajın içində göndərilən kiçik proqramdır. Onu işlətmək üçün Telegram tətbiqləri QuickJS adlı yığcam JavaScript mühərriki daxil edir ^[7][8]. Kənardan gələn kodu işlədən hər mühərrik hədəfdir, çünki onun içindəki xəta xüsusi hazırlanmış proqramın qalmalı olduğu qutudan çıxmasına imkan verə bilər.

11 noyabrda təhlükəsizlik tədqiqatçıları V12 “İstənilən telegram mesajı artıq RCE ola bilər” başlığı ilə, yəni uzaqdan kod icrası barədə yazı paylaşdı, kriptoqrafik hash və nümayiş videosu da yerləşdirdi ^[3]. Tədqiqatçı davtur19-un açıq hesabatı QuickJS-ng-də bir parser xətasını və Android-də daha bir neçə mühərrik xətasını təsvir edir, əsas xətanı isə 9,6 və 8,8 CVSS ciddilik balları ilə göstərir ^[7].

Aşağıda: adi istifadəçilər üçün risk və nə etmək lazımdır. Hücumun necə təkrarlanacağı barədə təfərrüat verilmir.

Hansı Telegram tətbiqləri və versiyalar təsirə məruz qalıb?

Tədqiqatçının hesabatına görə, təsirə məruz qalan versiyalar Telegram for Android 72889, 72929, 73029 və 73039 buildləri, Telegram for iOS 13.2, Telegram Desktop 7.4.0 və Telegram for macOS 13.1 idi; hamısı indi yenilənib ^[7]. Eyni hesabat deyir ki, sadaladığı bütün problemlər cari versiyalarda düzəldilib, düzəlişlər isə Telegram-ın QuickJS-in öz fork-undadır ^[7].

Ümumi vidjet kodunu saxlayan Telegram-ın widget-sandbox layihəsi düzəlişlərini açıq şəkildə qeyd edir. 10 noyabr tarixli 0.6.4 versiyası beş use-after-free və sərhəddən kənar düzəlişi sadalayır; orada deyilir ki, bağladığı xətalardan biri Telegram Android 13.2.1-ə qarşı vidjetin skriptindən yerli kodun icrası kimi bildirilib ^[8]. 12 noyabr tarixli 0.6.5 versiyası vidjet elementlərinin iç-içə yerləşmə dərinliyinə 1,024 səviyyəlik limit əlavə edir ^[8].

Telegram Desktop üçün açıq buraxılış siyahısı ardıcıl sürətli yeniləmələr göstərir: botlarda HTML vidjetlərini əlavə edən 5 noyabr tarixli 7.4.0, sonra 7.4.1, 12 noyabrda 7.4.2 və 7.4.3, 13 noyabrda 7.4.4 ^[9]. Aşağıdakı cədvəl açıq olanı ümumiləşdirir.

Telegram hazırda istifadə üçün təhlükəsizdirmi?

Tədqiqatçıların dərc etdiyi xətalar cari versiyalarda düzəldilib, lakin 13 noyabrda masaüstü tətbiq barədə yeni iddia həll olunmayıb, ona görə də ağıllı yol hər Telegram tətbiqini yeniləmək və tanımadığınız botlardan uzaq durmaqdır ^[5][7]. Tədqiqatçıların dərc etdiyi xətalar cari versiyalarda düzəldilib, Telegram Android düzəlişinin 11 noyabrda bütün istifadəçilərə çatdığını bildirir və 13 noyabr 2026-ya olan vəziyyətə görə adi istifadəçilərə qarşı hücumlar açıq şəkildə bildirilməyib ^[4][7][10].

Ehtiyat qeydi tədqiqatçıların özündən gəlir. V12 13 noyabr yazısında “mesajlarda (sandbox-sız!) QuickJS-ə icazə vermək hücum səthini xeyli genişləndirir” deyə iddia etdi; yəni ilk xətalar düzəldildikdən sonra da yeni xətalar tapıla bilər ^[5]. CyberSIXT tədqiqatçı Joel Eriksson-un mühərrikin Telegram prosesinin özündə işlədiyini qeyd etdiyini sitat gətirdi ^[10]. Telegram düzəlişlər üçün təhlükəsizlik bülleteni və ya CVE identifikatorları dərc etməyib ^[10]. Rusiyanın Kod.ru nəşri 13 noyabrda Gram News-a istinadən bildirdi ki, Telegram server tərəfində bütün botlar üçün HTML vidjetlərinin göndərilməsini söndürüb, artıq çatdırılmış vidjetlər isə işləməyə davam edir; Telegram-ın öz təsdiqi tapılmadı ^[11].

Yüksək risk altında olanlar, məsələn jurnalistlər, fəallar və telefonu hədəf ola biləcək hər kəs üçün tələb daha yüksəkdir. Bu həftə Telegram-ı hər gün yeniləyin, tanımadığınız botlardan tamamilə çəkinin və həssas söhbətləri ucdan uca şifrələmənin standart olaraq açıq olduğu tətbiqə köçürməyi düşünün. Pouyam bələdçisi İranda şəxsi çatlar üçün Telegram, yoxsa WhatsApp? Şifrələmə və qeyri-rəsmi tətbiq riskləri variantları müqayisə edir.

Durov və tədqiqatçılar nəyə görə razılaşmırlar?

Əsas mübahisə ondadır ki, istifadəçiyə sadəcə mesaj almaqla hücum etmək mümkün idimi və Windows tətbiqi ilk düzəlişlərdən sonra da risk altında qalırdımı; hər iki məqam 13 noyabr 2026-ya olan vəziyyətə görə mübahisəlidir ^[5][6][7].

Durov-un 13 noyabrda paylaşdığı mövqe: “Problem mövcud deyil. Heç kim sadəcə mesaj almaqla sındırıla bilməzdi. Əvvəlcə 3-cü tərəf xidmətini işə salmalı idiniz. Hətta bu da server tərəfində tam düzəldilib.” ^[6] O, həmçinin insanları öz hesabını sındırmağa çağırdı ^[6].

Tədqiqatçıların mövqeyi: davtur19 hesabatı deyir ki, vidjetlər mesaj ekranda yerləşdirilən kimi, toxunuş tələb etmədən işləyir ^[7]. V12 13 noyabrda ikinci nümayiş paylaşdı və onun “düzəldilmiş” Windows klientində işlədiyini bildirir ^[5].

İki bəyanat qismən uzlaşa bilər. Telegram-ın Bot API sənədləri deyir ki, istehsal mühitində vidjetlər yalnız şəxsi çatlara göndərilə bilər ^[1], CyberSIXT isə botların onları işə salmamış istifadəçilərə yaza bilmədiyini qeyd edir ^[10]. V12-nin nümayişləri barədə mətbuat məlumatları bildirir ki, istifadəçi əvvəlcə botun çatını açıb Start düyməsinə basmışdı ^[11][12]. Yəni göstərilən yol istifadəçinin işə saldığı bot idi; hesabata görə, vidjet gəldikdən sonra əlavə toxunuş olmadan işləyir ^[7]. Bunun “klikəsiz” sayılıb-sayılmaması mübahisənin mövzusudur. Masaüstü klient barədə 13 noyabr iddiası müstəqil şəkildə yoxlanılmayıb, ona görə də burada iddia kimi verilir.

Telegram-ı Android, iPhone və kompüterdə necə yeniləmək olar?

İstifadə etdiyiniz hər cihazda rəsmi mağazadan və ya telegram.org saytından ən son Telegram versiyasını quraşdırın, sonra tətbiqi yenidən başladın ^[7][9]. Hər tətbiq ayrıca yenilənir, ona görə də düzəldilmiş telefon eyni hesabdakı köhnə masaüstü tətbiqi qorumur.

1. Android: Google Play-i açın, Telegram-ı axtarın və Update düyməsinə toxunun. Telegram-ın öz saytından quraşdırmısınızsa, ən yeni versiyanı həmin rəsmi saytdan yükləyin.
2. iPhone və iPad: App Store-u açın, hesab səhifənizə keçib Telegram-ı yeniləyin və ya tətbiqlərin avtomatik yenilənməsini aktiv edin.
3. Windows və Linux (Telegram Desktop): Settings-dəki yeniləmə yoxlamasından istifadə edin və ya ən yeni versiyanı telegram.org saytından yükləyin; 13 noyabr 2026-ya olan vəziyyətə görə ən yeni açıq buraxılış 7.4.4-dür ^[9].
4. macOS: Telegram-ı harada quraşdırmağınızdan asılı olaraq Mac App Store-dan və ya tətbiqin daxilindən yeniləyin.
5. Telegram Web: brauzerin ən son kodu yükləməsi üçün səhifəni yenidən yükləyin.

Yenilədikdən sonra Settings, sonra Devices (və ya Active Sessions) bölməsini açın və tanımadığınız hər sessiyanı bitirin. Bu addım vidjet xətalarını düzəltmir, lakin başqa bir şey səhv getmişsə, qapıları bağlayır.

Zərərli Telegram botlarından və vidjetlərdən necə qorunmaq olar?

Tanımadığınız botları işə salmayın, gözlənilməz interaktiv məzmun göndərən hər botu silin və bloklayın ^[10]. İstehsal mühitində vidjetlər yalnız şəxsi çatlara göndərilə bilər ^[1], V12 nümayişi barədə mətbuat məlumatları isə istifadəçinin botu əvvəlcə işə saldığını bildirir ^[11][12]; ona görə də Start düyməsinə ehtiyatlı yanaşmaq göstərilən yolu aradan qaldırır.

• Yalnız etibar etdiyiniz botları işə salın: artıq istifadə etdiyiniz xidmətin idarə etdiyi və onun rəsmi saytından keçid verilən botları.
• Pulsuz Telegram Premium, kripto airdrop-lar, hədiyyələr və ya “doğrulama” vəd edən keçidlərdən ehtiyatlı olun. Bunlar insanı bot açmağa yönəltmək üçün adi yemlərdir.
• Dəyişdirilmiş və ya qeyri-rəsmi Telegram tətbiqləri quraşdırmayın. Onlar rəsmi təhlükəsizlik düzəlişlərindən geridə qala bilər.
• Güclü parolla iki addımlı doğrulamanı aktiv edin ki, oğurlanmış sessiya və ya SMS kodu tək başına hesabınızı ələ keçirməyə kifayət etməsin.
• Telefonun öz əməliyyat sistemini yeniləyin; bu, hər hansı tətbiq xətasının nəyə çata biləcəyini məhdudlaşdırır.

Hesabınızın artıq ələ keçirildiyini düşünürsünüzsə, Pouyam bələdçisindəki addımlara əməl edin: WhatsApp və ya Telegram hesabı sındırılıb? Necə bərpa etmək və qorumaq olar.

Telegram vidjetlərində yeni xətalar olacaqmı?

Daha çox xətanın bildirilməsi ehtimalı yüksəkdir, çünki vidjet mühərriki yenidir, açıqdır və indi tədqiqatçıların diqqət mərkəzindədir ^[5][8]. Telegram-ın widget-sandbox layihəsi 9 ilə 12 noyabr arasında dörd buraxılış dərc etdi, bunlardan ikisi QuickJS mühərriki üçün təhlükəsizlik və ya möhkəmləndirmə düzəlişi kimi qeyd olunub ^[8], masaüstü tətbiq isə səkkiz gündə dörd yeniləmə buraxdı ^[9].

İzləməli əlamətlər: rəsmi Telegram təhlükəsizlik bülleteni, QuickJS xətaları üçün CVE identifikatorları, 13 noyabr Windows iddiasının müstəqil təsdiqi və ya təkzibi və vidjetlərin real istifadəçilərə qarşı sui-istifadə edilməsi barədə hər hansı məlumat ^[5][10]. O vaxta qədər ən təhlükəsiz yanaşma tanımadığınız botlardan gələn vidjetlərə etibarsız kod kimi yanaşmaqdır, çünki onlar məhz belədir.