آپدیت تلگرام: نصب وصله امنیتی ویجت‌ها، قدم به قدم

کدام نسخه تلگرام حفره ویجت‌ها را رفع می‌کند؟

وصله ویجت‌ها در Telegram برای Android 13.2.2 و بالاتر و Telegram Desktop 7.4.3 و بالاتر وجود دارد؛ در iPhone، iPad و Mac جدیدترین نسخه را از App Store یا Mac App Store نصب کنید، چون بیلد اصلاح‌شده دقیقی اعلام نشده است ^[1][2]. این شماره‌ها از کد متن‌باز و فهرست انتشارهای تلگرام آمده‌اند که رسانه‌های مستقل آن‌ها را بررسی کرده‌اند، نه از اطلاعیه امنیتی تلگرام؛ چنین اطلاعیه‌ای وجود ندارد ^[2][7].

این حفره در QuickJS بود، موتور کوچک JavaScript که ویجت‌های تعاملی را اجرا می‌کند؛ تلگرام این ویجت‌ها را در ۹ نوامبر ۲۰۲۶ با Bot API 10.4 برای ربات‌ها عرضه کرد ^[9]. در ۱۱ نوامبر، شرکت امنیتی V12 ویدئویی منتشر کرد که در آن پیامی حاوی ویجت، ماشین‌حساب گوشی Android را باز می‌کرد؛ نشانه رایج اینکه کدی بیگانه روی دستگاه اجرا می‌شود ^[1]. Gram News این گزارش را با اصلاحیه‌ای در QuickJS به تاریخ ۱۰ نوامبر تطبیق داد، ۲۱ دقیقه پیش از اعلام پاول دوروف مبنی بر باز شدن ویجت‌ها برای همه ربات‌ها، و می‌نویسد این اصلاحیه در Telegram برای Android 13.2.2 (بیلد 7303) منتشر شده است ^[1].

تلگرام دسکتاپ با دو تلاش اصلاح شد. Neurocrat که بیلدها را مقایسه کرده، گزارش می‌دهد نسخه 7.4.2 مورخ ۱۱ نوامبر پنج اصلاح دیگر حافظه را داشت اما وصله اصلی را نه؛ این وصله تنها با 7.4.3 رسید ^[2]. فهرست عمومی انتشارها نسخه 7.4.3 را در ۱۲ نوامبر و 7.4.4 را در ۱۳ نوامبر نشان می‌دهد و توضیح هر دو فقط «Bug fixes and other minor improvements» است ^[3].

برای دستگاه‌های Apple تصویر کمتر دقیق است. بایگانی پژوهشگران Telegram برای iOS 13.2 و Telegram برای macOS 13.1 را جزو بیلدهای آسیب‌پذیر می‌شمارد و می‌گوید باگ‌های منتشرشده در بیلدهای فعلی رفع شده‌اند ^[8]. Neurocrat شماره بیلدی که وصله‌ها را داشته باشد برای iPhone یا Mac پیدا نکرد ^[2]. قاعده عملی ساده است: هر دستگاهی دارید، جدیدترین نسخه رسمی همان چیزی است که لازم دارید.

این راهنما ادامه گام‌به‌گام راهنمای پویام با عنوان Telegram Widgets Flaw: Is Telegram Safe and How to Update است که خود حفره و اختلاف‌نظر درباره میزان خطر آن را توضیح می‌دهد.

از کجا بفهمم کدام نسخه تلگرام را دارم؟

در Android شماره نسخه در پایین صفحه تنظیمات تلگرام نمایش داده می‌شود؛ در دستگاه‌های دیگر این شماره در تنظیمات برنامه یا در اطلاعات برنامه در سیستم‌عامل است ^[1]. آن را با جدول زیر مقایسه کنید. اگر شماره شما از شماره جدول کمتر است، پیش از باز کردن هر گفت‌وگویی با یک ربات، برنامه را به‌روز کنید.

در تلگرام دسکتاپ برای Windows و Linux، تنظیمات و سپس «پیشرفته» را باز کنید: بخش نسخه و به‌روزرسانی‌ها نسخه نصب‌شده را نشان می‌دهد و امکان جست‌وجوی نسخه تازه را می‌دهد. در iPhone یا iPad، سیستم نسخه هر برنامه را در Settings، سپس General، سپس iPhone Storage (یا iPad Storage) و بعد Telegram نشان می‌دهد. در Mac منوی برنامه را باز کنید و «About Telegram» را بزنید.

دو نکته اغلب باعث سردرگمی می‌شود. نخست اینکه در Android شماره بیلد و شماره نسخه دو چیز متفاوت‌اند: Gram News نسخه اصلاح‌شده را 13.2.2 و شماره بیلد را در پرانتز 7303 ذکر می‌کند ^[1]. بایگانی پژوهشگران به بیلدهای قدیمی Android با کدهای بلندتری مانند 72889، 72929، 73029 و 73039 اشاره می‌کند ^[8]. دوم اینکه برای Mac دو برنامه تلگرام وجود دارد: Telegram برای macOS از Mac App Store که پژوهشگران نسخه آسیب‌پذیر آن را 13.1 می‌دانند، و Telegram Desktop که همان برنامه نسخه Windows است و از شماره‌گذاری 7.4.x پیروی می‌کند ^[3][8].

حتی اگر گوشی شما برنامه‌ها را خودکار به‌روز می‌کند، بررسی نسخه ارزشش را دارد. به‌روزرسانی خودکار ممکن است به دلیل کمبود فضا، حالت صرفه‌جویی باتری، اتصال حجمی یا خروج از حساب فروشگاه چند روز عقب بیفتد.

چطور تلگرام را در Android آپدیت کنم؟

تلگرام را از Google Play، یا اگر از سایت خود تلگرام نصبش کرده‌اید از همان سایت، به‌روز کنید و مطمئن شوید پس از آن نسخه 13.2.2 یا بالاتر نمایش داده می‌شود ^[1]. تلگرام در ۱۱ نوامبر ۲۰۲۶ اعلام کرد که اصلاحیه Android «برای همه کاربران منتشر شده است»، پس به‌روزرسانی باید از قبل در فروشگاه در دسترس باشد ^[10].

1. Google Play را باز کنید، روی تصویر نمایه‌تان بزنید، سپس «مدیریت برنامه‌ها و دستگاه» را انتخاب کنید و Telegram را در فهرست به‌روزرسانی‌های موجود پیدا کنید. روی «به‌روزرسانی» بزنید.
2. اگر تلگرام را با فایل APK از telegram.org نصب کرده‌اید، جدیدترین APK را از همان سایت رسمی دانلود و روی نسخه قبلی نصب کنید؛ گفت‌وگوهایتان سر جایشان می‌مانند.
3. تلگرام را باز کنید، به تنظیمات بروید و تا پایین صفحه پیمایش کنید تا شماره نسخه را ببینید ^[1].
4. یک بار برنامه را دوباره اجرا کنید تا موتور جدید ویجت‌ها به کار بیفتد.

Gram News یادآوری می‌کند که پنج اصلاح دیگر موتور در widget-sandbox 0.6.4، که بعدتر در ۱۰ نوامبر منتشر شد، ظاهراً در خود نسخه 13.2.2 گنجانده نشده‌اند ^[1][5]. این دلیلی است برای اینکه به حداقل نسخه بسنده نکنید و به‌روزرسانی را ادامه دهید: هر بیلد جدیدتر ممکن است بخش بیشتری از اصلاحات موتورِ ثبت‌شده در گزارش تغییرات عمومی تلگرام را داشته باشد ^[5].

از سایت‌های دانلود APK، کلاینت‌های دست‌کاری‌شده و نسخه‌های غیررسمی «پلاس» یا «طلایی» دوری کنید. این نسخه‌ها از کد فعلی تلگرام و طبق زمان‌بندی تلگرام ساخته نمی‌شوند و اصلاحیه‌ای که به برنامه رسمی می‌رسد ممکن است دیر یا هرگز به آن‌ها نرسد. راهنمای پویام با عنوان Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks توضیح می‌دهد که چرا نسخه‌های غیررسمی خودشان یک خطر امنیتی‌اند.

چطور تلگرام دسکتاپ را در Windows و Linux آپدیت کنم؟

تنظیمات و سپس «پیشرفته» را باز کنید و در بخش نسخه و به‌روزرسانی‌ها به‌روزرسانی را بررسی کنید، یا جدیدترین بیلد را از telegram.org دانلود کنید؛ به نسخه 7.4.3 یا بالاتر نیاز دارید و جدیدترین نسخه تا ۱۵ نوامبر ۲۰۲۶ نسخه 7.4.4 است ^[2][3]. برنامه دسکتاپ در نسخه 7.4.0 جزو کلاینت‌هایی بود که پژوهشگران آسیب‌پذیر اعلام کردند ^[8].

1. در تلگرام دسکتاپ منو، سپس تنظیمات و بعد «پیشرفته» را باز کنید.
2. اگر به‌روزرسانی خودکار خاموش است روشنش کنید، سپس گزینه بررسی به‌روزرسانی را بزنید. وقتی دانلود تمام شد، در صورت درخواست تلگرام را دوباره اجرا کنید.
3. شماره نسخه را دوباره در همان بخش بررسی کنید. باید 7.4.3 یا بالاتر باشد ^[3].
4. اگر تلگرام را از Microsoft Store، مدیر بسته Linux، Flatpak یا Snap نصب کرده‌اید، از همان مسیر به‌روزش کنید؛ این بیلدها ممکن است کمی دیرتر از انتشار در GitHub برسند ^[3].

کاربران Windows این هفته باید یک گام اضافه هم بردارند. در ۱۳ نوامبر پژوهشگران V12 مدعی شدند در آنچه «کلاینت وصله‌شده Windows» نامیدند مسیر دیگری برای اجرای کد پیدا کرده‌اند؛ این ادعا فقط در یک پست مطرح شد و در منابع بررسی‌شده تأیید مستقلی برای آن پیدا نشد ^[11]. Telegram Desktop 7.4.4 در ادامه همان ۱۳ نوامبر و بدون یادداشت‌های مفصل منتشر شد ^[3]. تا وقتی این پرسش باز است، ماندن روی جدیدترین بیلد تنها محافظتی است که یک کاربر عادی در اختیار دارد.

اگر از تلگرام روی رایانه محل کار استفاده می‌کنید که خودتان نمی‌توانید به‌روزش کنید، از واحد فناوری اطلاعات بخواهید نسخه 7.4.4 یا بالاتر را نصب کند و تا آن زمان روی آن دستگاه گفت‌وگویی با ربات‌ها باز نکنید.

چطور تلگرام را در iPhone، iPad و Mac آپدیت کنم؟

جدیدترین نسخه تلگرام را از App Store یا Mac App Store نصب کنید؛ به گفته پژوهشگران، باگ‌هایی که در Telegram برای iOS 13.2 و Telegram برای macOS 13.1 یافتند در بیلدهای فعلی رفع شده‌اند، هرچند شماره دقیق بیلد اصلاح‌شده منتشر نشده است ^[2][8]. نه تلگرام و نه گزارش‌های مستقل حداقل نسخه امنی برای دستگاه‌های Apple اعلام نکرده‌اند و CryptoSlate یادآوری می‌کند که بایگانی پژوهشگران چنین نسخه‌ای را برای همه کلاینت‌ها تعیین نمی‌کند ^[2][4].

1. iPhone و iPad: App Store را باز کنید، روی تصویر حساب در بالای صفحه بزنید، تا فهرست به‌روزرسانی‌ها پیمایش کنید و کنار Telegram روی «Update» بزنید. برای اینکه بعدها لازم نباشد این کار را تکرار کنید، به‌روزرسانی خودکار برنامه‌ها را در تنظیمات App Store روشن کنید.
2. Mac، برنامه Telegram برای macOS: Mac App Store را باز کنید، «Updates» را انتخاب و تلگرام را به‌روز کنید.
3. Mac، برنامه Telegram Desktop: همان برنامه نسخه Windows است؛ از تنظیمات و سپس «پیشرفته» به‌روزش کنید و مطمئن شوید نسخه 7.4.3 یا بالاتر نمایش داده می‌شود ^[3].
4. پس از به‌روزرسانی، برنامه را کامل ببندید و دوباره باز کنید.

اگر App Store می‌گوید تلگرام به‌روز است، جدیدترین بیلد عمومی را دارید. کاربر عادی چیز دیگری برای نصب ندارد؛ محافظت باقی‌مانده رفتار شماست: ربات‌هایی را که نمی‌شناسید اجرا نکنید ^[6].

کسانی که به محافظت قوی‌تری نیاز دارند، مانند روزنامه‌نگاران و فعالان، باید نسخه iOS گوشی iPhone را هم به‌روز نگه دارند. به‌روزرسانی سیستم‌عامل محدود می‌کند که باگ یک برنامه، در هر پیام‌رسانی که باشد، تا کجا می‌تواند برسد.

در Telegram برای Android 13.2.2 چه چیزی تغییر کرد؟

Telegram برای Android 13.2.2 علاوه بر اصلاح موتور، کل کد ویجت‌ها را به فرایندی جداگانه و قفل‌شده منتقل می‌کند؛ بنابراین باگ مشابهی در آینده در جایی فرود می‌آید که به حساب، گفت‌وگوها یا کلیدهای شما دسترسی ندارد ^[1]. به گزارش Gram News، کامیت این انتشار ۹۶ فایل و حدود ۶٬۸۰۰ خط را تغییر می‌دهد که بیشترش برای همین مرز تازه است ^[1].

بر اساس مستندات موجود در کد کلاینت، چنان‌که Gram News خلاصه کرده، فرایند تازه‌ای به نام :widgets کد JavaScript ویجت، اعتبارسنج و موتور نمایش آن را اجرا می‌کند ^[1]. این فرایند هیچ مجوز Android، هیچ دسترسی شبکه و هیچ دسترسی به فایل‌های برنامه ندارد ^[1]. فرایند اصلی تلگرام دیگر اصلاً کتابخانه موتور را بارگذاری نمی‌کند و هر چیزی که فرایند ویجت بازگرداند نامطمئن تلقی و دوباره بررسی می‌شود؛ برای مثال، به ازای هر لمس واقعی فقط یک پیوند مجاز است ^[1].

روی همه این‌ها یک فیلتر فراخوانی سیستمی به نام seccomp قرار دارد. فعلاً بیشتر در حالت ثبت کار می‌کند، یعنی فراخوانی‌های ممنوع را به جای مسدود کردن ثبت می‌کند، اما اجرای برنامه‌ها و ساختن فرایندهای تازه از هم‌اکنون رد می‌شود ^[1]. یک فرایند به همه ویجت‌ها خدمت می‌دهد، نه یک فرایند برای هر ربات؛ Gram News می‌گوید فرایند جداگانه برای هر ربات کنار گذاشته شد، چون هر کدام حدود ۲۵ MB حافظه مصرف می‌کرد ^[1].

این موضوع برای فهم اینکه شماره نسخه چقدر از شما محافظت می‌کند مهم است. پیش از این تغییر، جوئل اریکسون (Joel Eriksson)، پژوهشگر امنیتی، یادآوری کرده بود که موتور درون خود فرایند تلگرام اجرا می‌شد و بنابراین سوءاستفاده از موتور، اختیارات برنامه را به دست می‌آورد ^[7]. بایگانی پژوهشگران از اجرای کد در سطح برنامه در برخی بیلدهای قدیمی Android خبر می‌دهد، اما در بیلدهای بعدی مانند 72979 و 72989 نتیجه در فرایند ایزوله ویجت محصور ماند ^[4]. خلاصه اینکه بیلدهای جدیدتر هم باگ‌های منتشرشده را رفع می‌کنند و هم آسیب احتمالی باگ تازه را محدود می‌کنند.

آیا ربات‌ها بعد از وصله هنوز می‌توانند ویجت بفرستند؟

فعلاً نه: در ۱۳ نوامبر ۲۰۲۶ یکی از مشارکت‌کنندگان مخزن Bot API تلگرام تأیید کرد که ربات‌های عمومی حتی در گفت‌وگوهای خصوصی هم اجازه استفاده از ویجت را ندارند ^[4]. به گزارش CryptoSlate، توسعه‌دهندگانی که پیش‌تر ویجت می‌فرستادند خطای INPUT_MEDIA_WIDGET_NOT_ALLOWED دریافت کردند ^[4].

پاول دوروف، بنیان‌گذار تلگرام، در ۱۳ نوامبر گفت: «No one could be hacked just by receiving a message» (هیچ‌کس صرفاً با دریافت یک پیام هک نمی‌شد)، کاربر «had to actively start a third-party service first» و «Even that is fully patched server-side» ^[6]. محدودیت سمت سرور و اظهارات او در یک جهت‌اند: به گفته دوروف، این مسیر به سرویسی شخص ثالث نیاز داشت که کاربر خودش از پیش اجرا کرده بود ^[4][6].

این موضوع به‌روزرسانی برنامه را اختیاری نمی‌کند. CryptoSlate یادآوری می‌کند که این محدودیت روشن نمی‌کند ویجت‌هایی که پیش‌تر تحویل شده‌اند چگونه نمایش داده می‌شوند، چرا دسترسی محدود شد و کی ممکن است بازگردد ^[4]. وقتی ویجت‌ها دوباره برای ربات‌ها باز شوند، فقط برنامه به‌روزشده موتور اصلاح‌شده را دارد. کد ویجت کاری بیش از نمایش محتوا هم می‌تواند انجام دهد: طراحی مستند تلگرام به ویجت‌ها اجازه می‌دهد کارت کیف پول TON کاربر را استعلام کنند یا داده امضاشده با کیف پول درخواست کنند؛ دلیلی دیگر برای به‌روز نگه داشتن کلاینت ^[4].

کد مشترک ویجت‌ها هم همچنان تغییر می‌کند. پروژه widget-sandbox تلگرام در ۱۰ نوامبر نسخه 0.6.4 را با پنج اصلاح ایمنی حافظه و در ۱۲ نوامبر نسخه 0.6.5 را منتشر کرد که عمق تودرتو شدن اجزای ویجت را به ۱٬۰۲۴ سطح محدود می‌کند ^[5]. هر کلاینت این تغییرات را فقط با نسخه تازه برنامه دریافت می‌کند ^[5].

اگر نتوانم فوراً تلگرام را آپدیت کنم چه کنم؟

اگر هنوز نمی‌توانید نسخه اصلاح‌شده را نصب کنید، گفت‌وگو با ربات‌های ناشناس را باز نکنید و تا پیش از به‌روزرسانی هیچ ربات تازه‌ای را اجرا نکنید ^[1][6]. Gram News توصیه می‌کند تا به‌روزرسانی برنامه از گفت‌وگوهایی که ربات‌های ناشناس در آن‌ها ویجت می‌فرستند دوری کنید، چون کد ویجت به محض نمایش حباب آن روی صفحه اجرا می‌شود ^[1].

• اول فضای ذخیره‌سازی را بررسی کنید: پر بودن گوشی رایج‌ترین دلیل شکست بی‌صدای به‌روزرسانی است. فضا آزاد کنید و دوباره امتحان کنید.
• اگر Google Play روی گوشی یا در کشورتان در دسترس نیست، به جای سایت‌های آینه از APK رسمی telegram.org استفاده کنید.
• روی رایانه مشترک یا رایانه محل کار که نمی‌توانید به‌روزش کنید، به جای آن از تلگرام روی گوشی به‌روزشده استفاده کنید و از نشست دسکتاپ قدیمی خارج شوید.
• تنظیمات و سپس «دستگاه‌ها» را باز کنید و هر نشستی را که نمی‌شناسید پایان دهید. این کار موتور را اصلاح نمی‌کند، اما اگر حساب از راه دیگری لو رفته باشد آسیب را محدود می‌کند.
• تأیید دومرحله‌ای را با گذرواژه‌ای قوی فعال کنید تا کد ورود دزدیده‌شده به‌تنهایی برای تصاحب حساب کافی نباشد.

تا ۱۵ نوامبر ۲۰۲۶، به گفته CryptoSlate، نمایش‌های پژوهشگران سرقت دارایی یا سوءاستفاده مخرب گسترده را ثابت نمی‌کند و پژوهشگران می‌گویند باگ‌هایی که منتشر کردند بیلدهای قدیمی‌ای را تحت تأثیر قرار می‌داد که اکنون در بیلدهای فعلی اصلاح شده‌اند ^[4][8]. این اطمینان‌بخش است اما تضمین نیست، چون تلگرام نگفته است که آیا پیش از اصلاح از این حفره سوءاستفاده شده یا نه ^[7].

اگر فکر می‌کنید حسابتان تصاحب شده، مراحل راهنمای پویام با عنوان WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down را دنبال کنید. اگر هنگام ایمن‌سازی حساب، گذرواژه ابری خود را فراموش کرده‌اید، راهنمای Forgot Your Telegram Two-Step Password? Recovery With or Without Email را ببینید.