Telegram-Sicherheitslücke bei Widgets: Update und Schutz

Was ist die Telegram-Sicherheitslücke bei den Widgets?

Die Telegram-Sicherheitslücke bei den Widgets ist eine Reihe von Fehlern in der Engine, die Telegrams neue interaktive Nachrichten-Widgets ausführt und die laut Forschern in älteren App-Versionen die Ausführung von Code auf dem Gerät eines Nutzers ermöglichte ^[7]. Telegram führte Widgets am 9. November 2026 mit Bot API 10.4 ein ^[1]. Pavel Durov, der Gründer von Telegram, kündigte sie am Folgetag mit dem Satz „Any Telegram message can now become an app“ an und beschrieb Widgets als interaktiv, nativ dargestellt und kleiner als 4 KB ^[2].

Ein Widget ist ein kleines Programm, das in einer Nachricht verschickt wird. Um es auszuführen, enthalten die Telegram-Apps eine kompakte JavaScript-Engine namens QuickJS ^[7][8]. Jede Engine, die von außen kommenden Code ausführt, ist ein Angriffsziel, denn ein Fehler darin kann es einem manipulierten Programm erlauben, aus der Umgebung auszubrechen, in der es bleiben soll.

Am 11. November veröffentlichten die Sicherheitsforscher V12 den Beitrag „Any telegram message can now become RCE“, also Remote Code Execution (Codeausführung aus der Ferne), samt kryptografischem Hash und einem Demonstrationsvideo ^[3]. Ein öffentlicher Bericht des Forschers davtur19 beschrieb einen Parser-Fehler in QuickJS-ng sowie mehrere weitere Engine-Fehler unter Android und führt den wichtigsten mit CVSS-Schweregraden von 9,6 und 8,8 auf ^[7].

Im Folgenden: das Risiko für normale Nutzer und was zu tun ist. Wie sich der Angriff nachstellen lässt, wird nicht beschrieben.

Welche Telegram-Apps und Versionen waren betroffen?

Laut dem Bericht des Forschers waren die Versionen Telegram für Android Build 72889, 72929, 73029 und 73039, Telegram für iOS 13.2, Telegram Desktop 7.4.0 und Telegram für macOS 13.1 betroffen, die inzwischen alle abgelöst sind ^[7]. Derselbe Bericht sagt, alle darin aufgeführten Probleme seien in den aktuellen Versionen behoben, mit den Korrekturen in Telegrams eigenem Fork von QuickJS ^[7].

Telegrams Widget-Sandbox-Projekt, das den gemeinsamen Widget-Code enthält, dokumentiert seine Korrekturen öffentlich. Version 0.6.4 vom 10. November listet fünf Korrekturen von Use-after-free- und Out-of-bounds-Fehlern auf; einer der behobenen Fehler wurde laut Eintrag für Telegram Android 13.2.1 als native Codeausführung aus dem Skript eines Widgets gemeldet ^[8]. Version 0.6.5 vom 12. November führt eine Grenze von 1.024 Ebenen für die Verschachtelungstiefe der Elemente eines Widgets ein ^[8].

Für Telegram Desktop zeigt die öffentliche Release-Liste eine Folge schneller Updates: 7.4.0 am 5. November, das HTML-Widgets in Bots hinzufügte, dann 7.4.1, 7.4.2, 7.4.3 am 12. November und 7.4.4 am 13. November ^[9]. Die Tabelle unten fasst zusammen, was öffentlich bekannt ist.

Ist Telegram derzeit sicher?

Die von den Forschern veröffentlichten Fehler sind in den aktuellen Versionen behoben, aber eine neue Behauptung zur Desktop-App vom 13. November ist ungeklärt; sinnvoll ist daher, alle Telegram-Apps aktuell zu halten und unbekannte Bots zu meiden ^[5][7]. Die von den Forschern veröffentlichten Fehler sind in den aktuellen Versionen behoben, Telegram sagt, der Android-Fix habe am 11. November alle Nutzer erreicht, und Stand 13. November 2026 wurden öffentlich keine Angriffe auf normale Nutzer gemeldet ^[4][7][10].

Der Vorbehalt stammt von den Forschern selbst. In ihrem Beitrag vom 13. November argumentierte V12, „allowing (unsandboxed!) QuickJS in messages massively opens up the attack surface“, was bedeutet, dass auch nach der Behebung der ersten Fehler neue gefunden werden könnten ^[5]. CyberSIXT zitierte den Forscher Joel Eriksson mit dem Hinweis, die Engine laufe im Telegram-Prozess selbst ^[10]. Telegram hat weder eine Sicherheitsmeldung noch CVE-Kennungen für die Korrekturen veröffentlicht ^[10]. Das russische Medium Kod.ru berichtete am 13. November unter Berufung auf Gram News, Telegram habe das Senden von HTML-Widgets für alle Bots serverseitig abgeschaltet, während bereits zugestellte Widgets weiter funktionieren; eine Bestätigung von Telegram selbst wurde nicht gefunden ^[11].

Für Menschen mit höherem Risiko, etwa Journalisten, Aktivisten und alle, deren Telefon ein Ziel sein könnte, liegt die Messlatte höher. Halten Sie Telegram in dieser Woche täglich aktuell, meiden Sie unbekannte Bots vollständig und erwägen Sie, sensible Gespräche in eine App mit standardmäßiger Ende-zu-Ende-Verschlüsselung zu verlegen. Der Pouyam-Ratgeber Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks vergleicht die Optionen.

Worüber streiten Durov und die Forscher?

Der Kern des Streits ist, ob ein Nutzer allein durch den Empfang einer Nachricht angegriffen werden konnte und ob die Windows-App nach den ersten Korrekturen noch gefährdet war; beide Punkte sind Stand 13. November 2026 umstritten ^[5][6][7].

Durovs Position, veröffentlicht am 13. November: „The issue doesn't exist. No one could be hacked just by receiving a message. You had to start a 3rd party service first. Even that is fully patched server-side.“ ^[6] Er lud außerdem dazu ein, sein eigenes Konto zu hacken ^[6].

Die Position der Forscher: Der Bericht von davtur19 sagt, Widgets liefen, sobald die Nachricht auf dem Bildschirm aufgebaut wird, ohne dass ein Tippen nötig sei ^[7]. V12 veröffentlichte am 13. November eine zweite Demonstration, die nach eigener Aussage auf dem „gepatchten“ Windows-Client funktioniert ^[5].

Beide Aussagen lassen sich teilweise vereinbaren. Telegrams Bot-API-Dokumentation sagt, dass Widgets im Produktivbetrieb nur an private Chats gesendet werden können ^[1], und CyberSIXT merkt an, dass Bots Nutzern, die sie nicht gestartet haben, keine Nachrichten senden können ^[10]. Presseberichte über die Demonstrationen von V12 sagen, der Nutzer habe zuerst den Chat des Bots geöffnet und auf Start gedrückt ^[11][12]. Der gezeigte Weg war also ein Bot, den der Nutzer gestartet hatte; der Bericht sagt, dass ein Widget, sobald es eintrifft, ohne weiteres Tippen läuft ^[7]. Ob das als „No-Click“ gilt, ist der Streitpunkt. Die Behauptung vom 13. November zum Desktop-Client wurde nicht unabhängig überprüft und wird hier daher als Behauptung wiedergegeben.

Wie aktualisiere ich Telegram auf Android, iPhone und PC?

Installieren Sie auf jedem Gerät, das Sie nutzen, die neueste Telegram-Version aus dem offiziellen Store oder von telegram.org und starten Sie die App anschließend neu ^[7][9]. Jede App wird für sich aktualisiert; ein aktualisiertes Telefon schützt also keine alte Desktop-App auf demselben Konto.

1. Android: Öffnen Sie Google Play, suchen Sie nach Telegram und tippen Sie auf Aktualisieren. Haben Sie die App von Telegrams eigener Website installiert, laden Sie die neueste Version von derselben offiziellen Seite herunter.
2. iPhone und iPad: Öffnen Sie den App Store, rufen Sie Ihre Kontoseite auf und aktualisieren Sie Telegram, oder aktivieren Sie automatische App-Updates.
3. Windows und Linux (Telegram Desktop): Nutzen Sie die Update-Prüfung der App in den Einstellungen oder laden Sie die neueste Version von telegram.org herunter; Stand 13. November 2026 ist die neueste öffentliche Version 7.4.4 ^[9].
4. macOS: Aktualisieren Sie Telegram im Mac App Store oder direkt in der App, je nachdem, woher Sie sie installiert haben.
5. Telegram Web: Laden Sie die Seite neu, damit der Browser den neuesten Code lädt.

Öffnen Sie nach dem Update die Einstellungen, dann Geräte (oder Aktive Sitzungen), und beenden Sie jede Sitzung, die Sie nicht erkennen. Das behebt die Widget-Fehler nicht, schließt aber Türen, falls sonst etwas schiefgelaufen ist.

Wie schütze ich mich vor schädlichen Telegram-Bots und Widgets?

Starten Sie keine Bots, die Sie nicht kennen, und löschen und blockieren Sie jeden Bot, der unerwartete interaktive Inhalte sendet ^[10]. Im Produktivbetrieb können Widgets nur an private Chats gesendet werden ^[1], und Presseberichte über die V12-Demonstration sagen, der Nutzer habe den Bot zuerst gestartet ^[11][12]; eine vorsichtige Gewohnheit beim Start-Knopf beseitigt also den gezeigten Weg.

• Starten Sie nur Bots, denen Sie vertrauen: solche, die ein Dienst betreibt, den Sie bereits nutzen, und die von dessen offizieller Website verlinkt sind.
• Seien Sie misstrauisch bei Links, die kostenloses Telegram Premium, Krypto-Airdrops, Geschenke oder „Verifizierung“ versprechen. Das sind die üblichen Köder, um jemanden dazu zu bringen, einen Bot zu öffnen.
• Installieren Sie keine modifizierten oder inoffiziellen Telegram-Apps. Sie hinken womöglich den offiziellen Sicherheitskorrekturen hinterher.
• Aktivieren Sie die Zwei-Schritt-Verifizierung mit einem starken Passwort, damit eine gestohlene Sitzung oder ein SMS-Code allein nicht ausreicht, um Ihr Konto zu übernehmen.
• Halten Sie das Betriebssystem Ihres Telefons aktuell; das begrenzt, was ein App-Fehler erreichen kann.

Wenn Sie vermuten, dass Ihr Konto bereits übernommen wurde, folgen Sie den Schritten im Pouyam-Ratgeber WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down.

Wird es weitere Fehler in Telegram-Widgets geben?

Weitere Fehler werden wahrscheinlich gemeldet, denn die Widget-Engine ist neu, öffentlich und steht jetzt unter genauer Beobachtung durch Forscher ^[5][8]. Telegrams Widget-Sandbox-Projekt veröffentlichte zwischen dem 9. und 12. November vier Releases, zwei davon als Sicherheits- oder Härtungskorrekturen an der QuickJS-Engine gekennzeichnet ^[8], und die Desktop-App erhielt vier Updates in acht Tagen ^[9].

Worauf Sie achten sollten: eine formelle Telegram-Sicherheitsmeldung, CVE-Kennungen für die QuickJS-Fehler, eine unabhängige Bestätigung oder Widerlegung der Windows-Behauptung vom 13. November und jeder Bericht über Widgets, die gegen echte Nutzer missbraucht werden ^[5][10]. Bis dahin ist es am sichersten, Widgets unbekannter Bots als nicht vertrauenswürdigen Code zu behandeln – was sie auch sind.