Actualizar Telegram: cómo instalar el parche de los widgets

¿Qué versión de Telegram corrige el fallo de los widgets?

El parche de los widgets está en Telegram para Android 13.2.2 o superior y en Telegram Desktop 7.4.3 o superior; en iPhone, iPad y Mac, instale la versión más reciente de la App Store o de la Mac App Store, porque no se ha publicado una compilación corregida exacta ^[1][2]. Estos números proceden del código abierto y de las listas de versiones de Telegram, analizados por medios independientes, y no de un aviso de Telegram: no existe ninguno ^[2][7].

El fallo estaba en QuickJS, el pequeño motor de JavaScript que ejecuta los widgets interactivos que Telegram añadió para los bots con la Bot API 10.4 el 9 de noviembre de 2026 ^[9]. El 11 de noviembre, la empresa de seguridad V12 publicó un vídeo en el que un mensaje con un widget abría la calculadora en un teléfono Android, la señal habitual de que código ajeno se ejecuta en un dispositivo ^[1]. Gram News relacionó ese informe con una corrección de QuickJS fechada el 10 de noviembre, 21 minutos antes del anuncio de Pavel Durov que abría los widgets a todos los bots, y dice que la corrección llegó en Telegram para Android 13.2.2 (compilación 7303) ^[1].

Telegram Desktop necesitó dos intentos. Neurocrat, que comparó las compilaciones, informa de que la versión 7.4.2 del 11 de noviembre incluía otras cinco correcciones de memoria, pero no el parche clave, que solo llegó con la 7.4.3 ^[2]. La lista pública de versiones muestra la 7.4.3 el 12 de noviembre y la 7.4.4 el 13 de noviembre, ambas descritas solo como «Bug fixes and other minor improvements» ^[3].

Para los dispositivos de Apple el panorama es menos preciso. El archivo de los investigadores cita Telegram para iOS 13.2 y Telegram para macOS 13.1 entre las compilaciones afectadas y afirma que los fallos publicados están corregidos en las compilaciones actuales ^[8]. Neurocrat no encontró números de compilación con los parches para iPhone ni para Mac ^[2]. La regla práctica es sencilla: use el dispositivo que use, la versión oficial más reciente es la que debe tener.

Esta guía es la continuación paso a paso de la guía de Pouyam Telegram Widgets Flaw: Is Telegram Safe and How to Update, que explica el fallo en sí y la disputa sobre su peligrosidad.

¿Cómo saber qué versión de Telegram tengo?

En Android, el número de versión aparece al final de la pantalla de Ajustes de Telegram; en otros dispositivos está en los ajustes de la aplicación o en la información de la app del sistema ^[1]. Compárelo con la tabla de abajo. Si su número es inferior al indicado, actualice antes de abrir cualquier chat con un bot.

En Telegram Desktop para Windows y Linux, abra Ajustes y después Avanzado: la sección de versión y actualizaciones muestra la versión instalada y permite buscar una nueva. En un iPhone o iPad, el sistema muestra la versión de una app en Ajustes, General, Almacenamiento del iPhone (o del iPad) y luego Telegram. En un Mac, abra el menú de la aplicación y elija «Acerca de Telegram».

Dos detalles suelen confundir. Primero, en Android el número de compilación y el número de versión son cosas distintas: Gram News da la versión corregida 13.2.2 con el número de compilación 7303 entre paréntesis ^[1]. El archivo de los investigadores se refiere a compilaciones antiguas de Android con códigos más largos, como 72889, 72929, 73029 y 73039 ^[8]. Segundo, hay dos aplicaciones de Telegram para Mac: Telegram para macOS, de la Mac App Store, que los investigadores citan en la versión 13.1 como afectada, y Telegram Desktop, la misma aplicación que en Windows, que sigue la numeración 7.4.x ^[3][8].

Merece la pena comprobar la versión aunque su teléfono actualice las aplicaciones automáticamente. Las actualizaciones automáticas pueden retrasarse días por falta de espacio, el modo de ahorro de batería, una conexión medida o una cuenta de la tienda sin sesión iniciada.

¿Cómo actualizar Telegram en Android?

Actualice Telegram desde Google Play, o desde la web de Telegram si lo instaló desde allí, y compruebe que después aparece la versión 13.2.2 o superior ^[1]. Telegram afirmó el 11 de noviembre de 2026 que la corrección de Android se había «desplegado a todos los usuarios», así que la actualización ya debería estar disponible en la tienda ^[10].

1. Abra Google Play, toque su foto de perfil, luego «Gestionar aplicaciones y dispositivo», y busque Telegram entre las actualizaciones disponibles. Toque «Actualizar».
2. Si instaló Telegram con el APK de telegram.org, descargue el APK más reciente de ese mismo sitio oficial e instálelo sobre el anterior; sus chats se conservan.
3. Abra Telegram, vaya a Ajustes y desplácese hasta el final para ver el número de versión ^[1].
4. Reinicie la aplicación una vez para que se use el nuevo motor de widgets.

Gram News señala que las otras cinco correcciones del motor de widget-sandbox 0.6.4, publicadas más tarde el 10 de noviembre, no parecen estar incluidas en la propia 13.2.2 ^[1][5]. Es un motivo para seguir actualizando más allá del mínimo: cada compilación más reciente puede incluir más correcciones de las que figuran en el registro público de cambios de Telegram ^[5].

Evite los sitios de descarga de APK, los clientes modificados y las versiones no oficiales «plus» o «gold». No se compilan a partir del código actual de Telegram ni siguen su calendario, de modo que una corrección que llega a la aplicación oficial puede llegarles tarde o nunca. La guía de Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks explica por qué las versiones no oficiales son un riesgo de seguridad por sí mismas.

¿Cómo actualizar Telegram Desktop en Windows y Linux?

Abra Ajustes y después Avanzado y busque una actualización en la sección de versión y actualizaciones, o descargue la compilación más reciente desde telegram.org; necesita la 7.4.3 o superior, y la 7.4.4 es la más reciente a 15 de noviembre de 2026 ^[2][3]. La aplicación de escritorio figuraba, en la versión 7.4.0, entre los clientes que los investigadores señalaron como afectados ^[8].

1. En Telegram Desktop, abra el menú, después Ajustes y luego Avanzado.
2. Active las actualizaciones automáticas si están desactivadas y elija la opción de buscar actualizaciones. Cuando termine la descarga, reinicie Telegram cuando se lo pida.
3. Vuelva a comprobar el número de versión en la misma sección. Debe indicar 7.4.3 o superior ^[3].
4. Si instaló Telegram mediante Microsoft Store, un gestor de paquetes de Linux, Flatpak o Snap, actualícelo por ese mismo canal; esas compilaciones pueden llegar algo después de la publicación en GitHub ^[3].

Los usuarios de Windows deben dar un paso más esta semana. El 13 de noviembre, los investigadores de V12 afirmaron haber encontrado otra vía de ejecución de código en lo que llamaron el cliente de Windows con parche, una afirmación hecha en una sola publicación y sin confirmación independiente en las fuentes consultadas ^[11]. Telegram Desktop 7.4.4 llegó más tarde ese mismo 13 de noviembre, sin notas detalladas ^[3]. Mientras la cuestión siga abierta, usar la compilación más reciente es la única protección que tiene un usuario común.

Si usa Telegram en un ordenador del trabajo que no puede actualizar usted mismo, pida a su departamento de informática que instale la 7.4.4 o superior y, hasta entonces, no abra chats con bots en ese equipo.

¿Cómo actualizar Telegram en iPhone, iPad y Mac?

Instale la versión más reciente de Telegram desde la App Store o la Mac App Store; según los investigadores, los fallos que encontraron en Telegram para iOS 13.2 y Telegram para macOS 13.1 están corregidos en las compilaciones actuales, aunque no hay un número exacto de compilación corregida público ^[2][8]. Ni Telegram ni los informes independientes indicaron una versión mínima segura para dispositivos de Apple, y CryptoSlate señala que el archivo de los investigadores no la establece para cada cliente ^[2][4].

1. iPhone y iPad: abra la App Store, toque la foto de su cuenta en la parte superior, desplácese hasta la lista de actualizaciones y toque «Actualizar» junto a Telegram. Para no tener que hacerlo en el futuro, active las actualizaciones automáticas de apps en los ajustes de la App Store.
2. Mac, Telegram para macOS: abra la Mac App Store, elija «Actualizaciones» y actualice Telegram.
3. Mac, Telegram Desktop: es la misma aplicación que en Windows; actualícela desde Ajustes, Avanzado, y compruebe que muestra la 7.4.3 o superior ^[3].
4. Después de actualizar, cierre la aplicación por completo y vuelva a abrirla.

Si la App Store indica que Telegram está actualizado, ya tiene la compilación pública más reciente. Un usuario común no puede instalar nada más; la protección restante es su comportamiento: no inicie bots que no conozca ^[6].

Quienes necesitan más protección, como periodistas y activistas, deben mantener también actualizado iOS en el iPhone. Una actualización del sistema operativo limita lo que puede alcanzar cualquier fallo de una aplicación, sea cual sea la aplicación de mensajería.

¿Qué cambió en Telegram para Android 13.2.2?

Además de la corrección del motor, Telegram para Android 13.2.2 traslada todo el código de los widgets a un proceso aparte y blindado, de modo que un fallo futuro del mismo tipo acabaría en un lugar sin acceso a su cuenta, sus chats ni sus claves ^[1]. Según Gram News, el commit de la versión modifica 96 archivos y unas 6.800 líneas, la mayor parte para esta nueva frontera ^[1].

Según la documentación del código del cliente, resumida por Gram News, el nuevo proceso llamado :widgets ejecuta el JavaScript del widget, su validador y su renderizador ^[1]. No tiene permisos de Android, ni red, ni acceso a los archivos de la aplicación ^[1]. El proceso principal de Telegram ya no carga en absoluto la biblioteca del motor, y todo lo que devuelve el proceso de widgets se considera no fiable y se vuelve a comprobar; por ejemplo, se permite un enlace por cada toque real ^[1].

Encima hay un filtro de llamadas al sistema llamado seccomp. Por ahora funciona sobre todo en modo de registro, es decir, anota las llamadas prohibidas en lugar de bloquearlas, pero el lanzamiento de programas y la creación de procesos nuevos ya se rechazan ^[1]. Un solo proceso atiende todos los widgets en lugar de uno por bot; según Gram News, se descartó un proceso aparte para cada bot porque cada uno usaría unos 25 MB de memoria ^[1].

Esto importa para saber cuánto protege el número de versión. Antes del cambio, el investigador Joel Eriksson señaló que el motor se ejecutaba dentro del propio proceso de Telegram, por lo que un exploit del motor obtenía los privilegios de la aplicación ^[7]. El archivo de los investigadores informa de ejecución de código a nivel de aplicación en algunas compilaciones antiguas de Android, pero de resultados contenidos en un proceso de widgets aislado en compilaciones posteriores como 72979 y 72989 ^[4]. En resumen, las compilaciones más nuevas eliminan los fallos publicados y además limitan el daño que podría causar uno nuevo.

¿Pueden los bots seguir enviando widgets tras el parche?

Por ahora, no: el 13 de noviembre de 2026, un colaborador del repositorio de la Bot API de Telegram confirmó que los bots generales no pueden usar widgets, ni siquiera en chats privados ^[4]. Los desarrolladores que enviaban widgets empezaron a recibir el error INPUT_MEDIA_WIDGET_NOT_ALLOWED, según CryptoSlate ^[4].

El fundador de Telegram, Pavel Durov, dijo el 13 de noviembre que «No one could be hacked just by receiving a message» (nadie podía ser hackeado solo por recibir un mensaje), que el usuario «had to actively start a third-party service first» y que «Even that is fully patched server-side» ^[6]. La restricción en el servidor y su declaración apuntan en la misma dirección: según Durov, la vía necesitaba un servicio de terceros que el usuario había iniciado antes ^[4][6].

Eso no hace opcional la actualización. CryptoSlate señala que la restricción no aclara cómo se muestran los widgets ya entregados, por qué se limitó el acceso ni cuándo podría volver ^[4]. Cuando los widgets vuelvan a abrirse a los bots, solo una aplicación actualizada tendrá el motor corregido. Además, el código de un widget puede hacer algo más que mostrar contenido: el diseño documentado de Telegram permite a los widgets consultar la tarjeta del monedero TON de un usuario o pedir datos firmados con el monedero, otra razón para mantener el cliente al día ^[4].

El código común de los widgets también sigue cambiando. El proyecto widget-sandbox de Telegram publicó la versión 0.6.4 el 10 de noviembre, con cinco correcciones de seguridad de memoria, y la versión 0.6.5 el 12 de noviembre, que limita a 1.024 niveles la profundidad de anidamiento de los elementos de un widget ^[5]. Cada cliente incorpora esos cambios solo con una nueva versión de la aplicación ^[5].

¿Qué hacer si no puedo actualizar Telegram ahora mismo?

Si todavía no puede instalar la versión corregida, no abra chats con bots que no conozca y no inicie ningún bot nuevo hasta actualizar ^[1][6]. Gram News aconseja evitar los chats en los que bots desconocidos envían widgets hasta actualizar la aplicación, porque el código de un widget se ejecuta en cuanto su burbuja aparece en pantalla ^[1].

• Revise primero el almacenamiento: un teléfono lleno es el motivo más común de que una actualización falle sin avisar. Libere espacio y vuelva a intentarlo.
• Si Google Play no está disponible en su teléfono o en su país, use el APK oficial de telegram.org en lugar de un sitio espejo.
• En un ordenador compartido o del trabajo que no pueda actualizar, use Telegram en un teléfono actualizado y cierre la sesión de escritorio antigua.
• Abra Ajustes y después Dispositivos, y cierre cualquier sesión que no reconozca. No corrige el motor, pero limita el daño si la cuenta ya quedó expuesta de otra forma.
• Active la verificación en dos pasos con una contraseña fuerte, para que un código de acceso robado no baste para hacerse con la cuenta.

A 15 de noviembre de 2026, CryptoSlate afirma que las demostraciones de los investigadores no acreditan robo de activos ni una explotación maliciosa generalizada, y los investigadores dicen que los fallos publicados afectaban a compilaciones antiguas ya corregidas en las compilaciones actuales ^[4][8]. Es tranquilizador, pero no es una garantía, porque Telegram no ha dicho si el fallo se aprovechó antes del parche ^[7].

Si cree que le han robado la cuenta, siga la guía de Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. Si al proteger la cuenta ha olvidado su contraseña en la nube, consulte Forgot Your Telegram Two-Step Password? Recovery With or Without Email.