Fallo en los widgets de Telegram: ¿es seguro y cómo actualizar?

¿Qué es el fallo en los widgets de Telegram?

El fallo en los widgets de Telegram es un conjunto de errores en el motor que ejecuta los nuevos widgets interactivos de los mensajes de Telegram, que según los investigadores permitía ejecutar código en el dispositivo del usuario en versiones antiguas de la app ^[7]. Telegram presentó los widgets con Bot API 10.4 el 9 de noviembre de 2026 ^[1]. Pavel Durov, fundador de Telegram, los anunció al día siguiente con la frase «Cualquier mensaje de Telegram puede convertirse ahora en una app» y los describió como interactivos, renderizados de forma nativa y de menos de 4 KB ^[2].

Un widget es un pequeño programa enviado dentro de un mensaje. Para ejecutarlo, las apps de Telegram incluyen un motor JavaScript compacto llamado QuickJS ^[7][8]. Cualquier motor que ejecute código procedente del exterior es un objetivo, porque un error en él puede permitir que un programa manipulado salga del recinto en el que debería permanecer.

El 11 de noviembre, los investigadores de seguridad V12 publicaron «Any telegram message can now become RCE», es decir, ejecución remota de código, junto con un hash criptográfico y un vídeo de demostración ^[3]. Un análisis público del investigador davtur19 describió un error del analizador sintáctico en QuickJS-ng y varios errores más del motor en Android, y presenta el principal con puntuaciones de gravedad CVSS de 9,6 y 8,8 ^[7].

A continuación: el riesgo para los usuarios corrientes y qué hacer. No se ofrecen detalles sobre cómo reproducir el ataque.

¿Qué apps y versiones de Telegram estaban afectadas?

Según el análisis del investigador, las versiones afectadas eran las compilaciones 72889, 72929, 73029 y 73039 de Telegram para Android, Telegram para iOS 13.2, Telegram Desktop 7.4.0 y Telegram para macOS 13.1, todas ya reemplazadas por versiones posteriores ^[7]. El mismo análisis indica que todos los problemas que enumera están corregidos en las versiones actuales, con las correcciones en la bifurcación propia de QuickJS de Telegram ^[7].

El proyecto de sandbox de widgets de Telegram, que contiene el código compartido de los widgets, registra sus correcciones de forma pública. La versión 0.6.4, del 10 de noviembre, enumera cinco correcciones de uso tras liberación y de acceso fuera de límites; indica que uno de los errores que cierra se notificó en Telegram Android 13.2.1 como ejecución de código nativo desde el script de un widget ^[8]. La versión 0.6.5, del 12 de noviembre, añade un límite de 1.024 niveles de profundidad para el anidamiento de los elementos de un widget ^[8].

En Telegram Desktop, la lista pública de versiones muestra una serie de actualizaciones rápidas: la 7.4.0 el 5 de noviembre, que añadió widgets HTML en los bots, y después la 7.4.1, la 7.4.2, la 7.4.3 el 12 de noviembre y la 7.4.4 el 13 de noviembre ^[9]. La tabla siguiente resume lo que es público.

¿Es seguro usar Telegram ahora mismo?

Los errores que publicaron los investigadores están corregidos en las versiones actuales, pero una nueva afirmación sobre la app de escritorio, hecha el 13 de noviembre, sigue sin resolverse, así que lo sensato es mantener actualizadas todas las apps de Telegram y evitar los bots desconocidos ^[5][7]. Los errores que publicaron los investigadores están corregidos en las versiones actuales, Telegram dice que la corrección de Android llegó a todos los usuarios el 11 de noviembre y a fecha de 13 de noviembre de 2026 no se han comunicado públicamente ataques contra usuarios corrientes ^[4][7][10].

La cautela procede de los propios investigadores. En su publicación del 13 de noviembre, V12 sostuvo que «permitir QuickJS (¡sin sandbox!) en los mensajes amplía enormemente la superficie de ataque», es decir, que pueden encontrarse nuevos errores incluso después de corregir los primeros ^[5]. CyberSIXT citó al investigador Joel Eriksson, quien señala que el motor se ejecuta dentro del propio proceso de Telegram ^[10]. Telegram no ha publicado un aviso de seguridad ni identificadores CVE para las correcciones ^[10]. El medio ruso Kod.ru informó el 13 de noviembre, citando a Gram News, de que Telegram había desactivado en el servidor el envío de widgets HTML para todos los bots, mientras que los widgets ya entregados siguen funcionando; no se encontró confirmación de la propia Telegram ^[11].

Para las personas con mayor riesgo, como periodistas, activistas y cualquiera cuyo teléfono pueda ser objetivo de ataques, el listón es más alto. Mantenga Telegram actualizado a diario esta semana, evite por completo los bots desconocidos y considere trasladar las conversaciones sensibles a una app con cifrado de extremo a extremo activado de forma predeterminada. La guía de Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks compara las opciones.

¿En qué discrepan Durov y los investigadores?

La disputa central es si un usuario podía ser atacado solo por recibir un mensaje y si la app de Windows seguía expuesta tras las primeras correcciones; ambos puntos son objeto de disputa a fecha de 13 de noviembre de 2026 ^[5][6][7].

La postura de Durov, publicada el 13 de noviembre: «El problema no existe. Nadie podía ser hackeado solo por recibir un mensaje. Había que iniciar antes un servicio de terceros (3rd party). Incluso eso está totalmente corregido en el servidor». ^[6] También invitó a la gente a intentar hackear su propia cuenta ^[6].

La postura de los investigadores: el análisis de davtur19 afirma que los widgets se ejecutan cuando el mensaje se maqueta en pantalla, sin necesidad de pulsar nada ^[7]. V12 publicó el 13 de noviembre una segunda demostración que, según dice, funciona en el cliente de Windows «parcheado» ^[5].

Ambas declaraciones pueden encajar en parte. La documentación de Bot API de Telegram indica que, en producción, los widgets solo pueden enviarse a chats privados ^[1], y CyberSIXT señala que los bots no pueden escribir a usuarios que no los han iniciado ^[10]. Las informaciones de prensa sobre las demostraciones de V12 dicen que el usuario abrió primero el chat del bot y pulsó Iniciar ^[11][12]. Así, la vía mostrada fue un bot que el usuario había iniciado; el análisis indica que, una vez que llega un widget, se ejecuta sin necesidad de otra pulsación ^[7]. Si eso cuenta como «sin clic» es precisamente la discusión. La afirmación del 13 de noviembre sobre el cliente de escritorio no se ha verificado de forma independiente, por lo que aquí se presenta como una afirmación.

¿Cómo actualizo Telegram en Android, iPhone y PC?

Instale la última versión de Telegram desde la tienda oficial o desde telegram.org en cada dispositivo que utilice y reinicie la app ^[7][9]. Cada app se actualiza por separado, así que un teléfono ya corregido no protege una app de escritorio antigua de la misma cuenta.

1. Android: abra Google Play, busque Telegram y toque Actualizar. Si la instaló desde el sitio web de Telegram, descargue la versión más reciente del mismo sitio oficial.
2. iPhone e iPad: abra la App Store, vaya a la página de su cuenta y actualice Telegram, o active las actualizaciones automáticas de apps.
3. Windows y Linux (Telegram Desktop): use la comprobación de actualizaciones de la app en Ajustes o descargue la versión más reciente desde telegram.org; a fecha de 13 de noviembre de 2026, la versión pública más reciente es la 7.4.4 ^[9].
4. macOS: actualice Telegram desde la Mac App Store o desde la propia app, según dónde la haya instalado.
5. Telegram Web: recargue la página para que el navegador cargue el código más reciente.

Tras actualizar, abra Ajustes y después Dispositivos (o Sesiones activas) y cierre cualquier sesión que no reconozca. Ese paso no corrige los errores de los widgets, pero cierra puertas si algo más ha salido mal.

¿Cómo protegerme de bots y widgets maliciosos de Telegram?

No inicie bots que no conozca, y elimine y bloquee cualquier bot que envíe contenido interactivo inesperado ^[10]. En producción, los widgets solo pueden enviarse a chats privados ^[1], y las informaciones de prensa sobre la demostración de V12 dicen que el usuario inició antes el bot ^[11][12], de modo que el hábito prudente de no pulsar Iniciar elimina la vía que se mostró.

• Inicie solo bots de confianza: los de un servicio que ya utilice, enlazados desde su sitio web oficial.
• Desconfíe de los enlaces que prometen Telegram Premium gratis, airdrops de criptomonedas, regalos o «verificación». Son los señuelos habituales para que alguien abra un bot.
• No instale apps de Telegram modificadas o no oficiales. Pueden tardar en recibir las correcciones de seguridad oficiales.
• Active la verificación en dos pasos con una contraseña robusta, para que una sesión robada o un código SMS por sí solos no basten para tomar su cuenta.
• Mantenga actualizado el propio sistema operativo del teléfono; limita hasta dónde puede llegar el error de una app.

Si cree que su cuenta ya ha sido tomada, siga los pasos de la guía de Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down.

¿Habrá más errores en los widgets de Telegram?

Es probable que se comuniquen más errores, porque el motor de widgets es nuevo, público y está ahora bajo la atención de los investigadores ^[5][8]. El proyecto de sandbox de widgets de Telegram publicó cuatro versiones entre el 9 y el 12 de noviembre, dos de ellas etiquetadas como correcciones de seguridad o de refuerzo del motor QuickJS ^[8], y la app de escritorio lanzó cuatro actualizaciones en ocho días ^[9].

Señales que conviene vigilar: un aviso de seguridad formal de Telegram, identificadores CVE para los errores de QuickJS, una confirmación o refutación independiente de la afirmación del 13 de noviembre sobre Windows y cualquier informe de widgets utilizados de forma abusiva contra usuarios reales ^[5][10]. Hasta entonces, lo más seguro es tratar los widgets de bots desconocidos como código no fiable, que es lo que son.