ویجت تلگرام: آسیبپذیری، امنیت و روش به‌روزرسانی
خلاصه
تا ۱۳ نوامبر ۲۰۲۶، آسیبپذیری ویجت تلگرام که به پژوهشگران اجازه داد از راه ویجتهای تعاملی جدید چت کد اجرا کنند، در نسخه‌هایی که در گزارش پژوهشگران نام برده شده رفع شده است؛ اما پژوهشگران و پاول دوروف هنوز بر سر میزان خطرناک بودن آن اختلاف دارند [4][6][7]. همهٔ برنامه‌های تلگرامی را که استفاده می‌کنید به‌روزرسانی کنید و رباتهای ناشناس را راهاندازی نکنید [7][10].
نکته‌های کلیدی
- تلگرام در ۹ نوامبر ۲۰۲۶ با Bot API 10.4 ویجتهای تعاملی را به پیام‌ها افزود؛ ویجت برنامه‌ای کوچک است که درون چت اجرا می‌شود [1][2].
- ظرف دو روز، پژوهشگران اجرای کد را از راه ویجتها نشان دادند و گزارشی عمومی باگ‌ها را به موتور QuickJS که ویجتها را اجرا می‌کند ردیابی کرد؛ نسخه‌های قدیمی برنامه‌های Android، iOS، Desktop و macOS آسیب‌پذیر بودند [3][7].
- تلگرام در ۱۱ نوامبر اعلام کرد وصلهٔ Android برای همهٔ کاربران عرضه شده و موتور ویجت آن در ۱۰ نوامبر یک انتشار امنیتی و در ۱۲ نوامبر یک محدودیت تودرتویی دریافت کرده است [4][8].
- دوروف میگوید هیچ‌کس صرفاً با دریافت یک پیام هک نمی‌شد، چون باید نخست یک ربات شخص ثالث راهاندازی میشد؛ پژوهشگران میگویند ویجتها به‌محض نمایش پیام اجرا میشوند. هر دو نکته محل اختلاف است [6][7][10].
- یک پژوهشگر در ۱۳ نوامبر ادعای تازه‌ای دربارهٔ برنامهٔ Windows منتشر کرد؛ Telegram Desktop 7.4.4 در همان روز و دیرتر منتشر شد و یادداشت‌های انتشار آن به این ادعا اشاره‌ای ندارند [5][9].
- تا ۱۳ نوامبر ۲۰۲۶ هیچ حملهای به کاربران عادی علناً گزارش نشده و تلگرام هیچ اطلاعیهٔ امنیتی یا شناسهٔ CVE منتشر نکرده است [10].
- راه دفاع عملی: همهٔ برنامه‌های تلگرام را به‌روزرسانی کنید، کلاینت‌های قدیمی یا غیررسمی را حذف کنید و رباتهای ناشناس را راهاندازی نکنید [7][10].
در این صفحه ۱۱ بخش
- آسیبپذیری ویجت تلگرام چیست؟
- کدام برنامه‌ها و نسخه‌های تلگرام آسیب‌دیده بودند؟
- آیا استفاده از تلگرام اکنون امن است؟
- دوروف و پژوهشگران بر سر چه اختلاف دارند؟
- چگونه تلگرام را در Android، iPhone و رایانه به‌روزرسانی کنم؟
- چگونه از رباتها و ویجتهای مخرب تلگرام در امان بمانم؟
- آیا باگ‌های بیشتری در ویجتهای تلگرام خواهد بود؟
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
آسیبپذیری ویجت تلگرام چیست؟
آسیبپذیری ویجت تلگرام مجموعه‌ای از باگ‌ها در موتوری است که ویجتهای تعاملی جدید پیام‌های تلگرام را اجرا می‌کند و به گفتهٔ پژوهشگران در نسخه‌های قدیمی‌تر برنامه امکان اجرای کد روی دستگاه کاربر را می‌داد [7]. تلگرام ویجتها را در ۹ نوامبر ۲۰۲۶ با Bot API 10.4 معرفی کرد [1]. پاول دوروف، بنیان‌گذار تلگرام، روز بعد آن‌ها را با جملهٔ «از این پس هر پیام تلگرام می‌تواند به یک برنامه تبدیل شود» اعلام کرد و ویجتها را تعاملی، با رندر بومی و کوچک‌تر از ۴ KB توصیف کرد [2].
ویجت برنامه‌ای کوچک است که درون یک پیام فرستاده می‌شود. برای اجرای آن، برنامه‌های تلگرام یک موتور فشردهٔ جاوااسکریپت به نام QuickJS دارند [7][8]. هر موتوری که کد بیرونی را اجرا کند هدف است، چون باگی در آن می‌تواند به برنامه‌ای دست‌ساز اجازه دهد از جعبه‌ای که باید درونش بماند بیرون بزند.
در ۱۱ نوامبر پژوهشگران امنیتی V12 مطلبی با عنوان «Any telegram message can now become RCE» (اجرای کد از راه دور) منتشر کردند و یک هش رمزنگاری‌شده و یک ویدیوی نمایشی گذاشتند [3]. گزارشی عمومی از پژوهشگر davtur19 یک باگ تجزیه‌گر در QuickJS-ng و چند باگ دیگر موتور را در Android شرح داد و باگ اصلی را با نمرهٔ شدت CVSS برابر ۹٫۶ و ۸٫۸ فهرست کرد [7].
در ادامه: خطر برای کاربران عادی و کارهایی که باید کرد. هیچ جزئیاتی از چگونگی بازتولید حمله داده نشده است.
کدام برنامه‌ها و نسخه‌های تلگرام آسیب‌دیده بودند؟
طبق گزارش پژوهشگر، نسخه‌های آسیب‌دیده عبارت بودند از Telegram for Android با بیلدهای 72889، 72929، 73029 و 73039، Telegram for iOS 13.2، Telegram Desktop 7.4.0 و Telegram for macOS 13.1 که همگی اکنون منسوخ شده‌اند [7]. همین گزارش میگوید همهٔ مسائلی که فهرست کرده در نسخه‌های کنونی رفع شده و وصله‌ها در انشعاب (fork) اختصاصی تلگرام از QuickJS اعمال شده‌اند [7].
پروژهٔ widget-sandbox تلگرام، که کد مشترک ویجتها را نگه می‌دارد، اصلاحات خود را علناً ثبت می‌کند. نسخهٔ 0.6.4 با تاریخ ۱۰ نوامبر پنج اصلاح use-after-free و خارج‌ازمحدوده را فهرست می‌کند؛ میگوید یکی از باگ‌هایی که می‌بندد با عنوان اجرای کد بومی از اسکریپت یک ویجت روی Telegram Android 13.2.1 گزارش شده بود [8]. نسخهٔ 0.6.5 با تاریخ ۱۲ نوامبر محدودیتی ۱,۰۲۴ سطحی برای عمق تودرتویی عناصر ویجت می‌افزاید [8].
برای Telegram Desktop، فهرست عمومی انتشارها رشته‌ای از به‌روزرسانی‌های سریع را نشان می‌دهد: 7.4.0 در ۵ نوامبر که ویجتهای HTML را در رباتها افزود، سپس 7.4.1، 7.4.2 و 7.4.3 در ۱۲ نوامبر و 7.4.4 در ۱۳ نوامبر [9]. جدول زیر آنچه علنی است را جمع‌بندی می‌کند.
آیا استفاده از تلگرام اکنون امن است؟
باگ‌هایی که پژوهشگران منتشر کرده‌اند در نسخه‌های کنونی رفع شده‌اند، اما ادعای تازه‌ای دربارهٔ برنامهٔ دسکتاپ در ۱۳ نوامبر هنوز روشن نشده است؛ پس عاقلانه است همهٔ برنامه‌های تلگرام را به‌روز نگه دارید و از رباتهای ناشناس دوری کنید [5][7]. باگ‌های منتشرشدهٔ پژوهشگران در نسخه‌های کنونی رفع شده‌اند، تلگرام میگوید وصلهٔ Android در ۱۱ نوامبر به همهٔ کاربران رسیده و تا ۱۳ نوامبر ۲۰۲۶ هیچ حملهای به کاربران عادی علناً گزارش نشده است [4][7][10].
هشدار از خود پژوهشگران می‌آید. V12 در نوشتهٔ ۱۳ نوامبر خود استدلال کرد که «اجازهٔ QuickJS بدون سندباکس! در پیام‌ها سطح حمله را به‌شدت گسترش می‌دهد»، یعنی ممکن است حتی پس از رفع باگ‌های نخست باگ‌های تازه پیدا شود [5]. CyberSIXT از پژوهشگر Joel Eriksson نقل کرد که موتور درون خود فرایند تلگرام اجرا می‌شود [10]. تلگرام برای این اصلاحات اطلاعیهٔ امنیتی یا شناسهٔ CVE منتشر نکرده است [10]. رسانهٔ روسی Kod.ru در ۱۳ نوامبر به نقل از Gram News گزارش داد تلگرام ارسال ویجتهای HTML را برای همهٔ رباتها از سمت سرور خاموش کرده، در حالی که ویجتهای ازپیش‌رسیده همچنان کار می‌کنند؛ تأیید خود تلگرام پیدا نشد [11].
برای افراد در معرض خطر بیشتر، مانند روزنامه‌نگاران، فعالان و هر کسی که ممکن است گوشی‌اش هدف قرار گیرد، معیار بالاتر است. این هفته تلگرام را هر روز به‌روز کنید، از رباتهای ناشناس کاملاً دوری کنید و انتقال گفت‌وگوهای حساس را به برنامه‌ای با رمزنگاری سرتاسری پیش‌فرض در نظر بگیرید. راهنمای پویام Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks گزینه‌ها را مقایسه می‌کند.
دوروف و پژوهشگران بر سر چه اختلاف دارند؟
اختلاف اصلی این است که آیا کاربر می‌توانست صرفاً با دریافت یک پیام هدف حمله قرار گیرد و آیا برنامهٔ Windows پس از نخستین اصلاحات هنوز در معرض خطر بود؛ هر دو نکته تا ۱۳ نوامبر ۲۰۲۶ محل اختلاف است [5][6][7].
موضع دوروف که در ۱۳ نوامبر منتشر شد: «این مشکل وجود ندارد. هیچ‌کس صرفاً با دریافت یک پیام هک نمی‌شد. باید نخست یک سرویس طرف سوم (3rd party) را راهاندازی می‌کردید. حتی همین هم در سمت سرور کاملاً وصله شده است.» [6] او همچنین از مردم خواست حساب خودش را هک کنند [6].
موضع پژوهشگران: گزارش davtur19 میگوید ویجتها وقتی پیام روی صفحه چیده می‌شود اجرا میشوند، بی‌آنکه نیازی به ضربه زدن باشد [7]. V12 در ۱۳ نوامبر دومین نمایش را منتشر کرد که به گفتهٔ خودش روی کلاینت «وصله‌شدهٔ» Windows کار می‌کند [5].
این دو اظهار تا حدی با هم سازگارند. مستندات Bot API تلگرام میگوید در محیط عملیاتی ویجتها فقط به چت‌های خصوصی فرستاده میشوند [1] و CyberSIXT یادآوری می‌کند رباتها نمی‌توانند به کاربرانی که آن‌ها را راهاندازی نکرده‌اند پیام بدهند [10]. گزارش‌های رسانه‌ای دربارهٔ نمایشهای V12 میگویند کاربر نخست چت ربات را باز کرد و Start را زد [11][12]. پس مسیر نشان‌داده‌شده رباتی بود که کاربر آن را راه‌انداخته بود؛ گزارش میگوید وقتی ویجت برسد بدون ضربهٔ دیگری اجرا می‌شود [7]. اینکه این را «بدون کلیک» بنامیم یا نه، محور بحث است. ادعای ۱۳ نوامبر دربارهٔ کلاینت دسکتاپ به‌طور مستقل تأیید نشده و در اینجا همچون یک ادعا گزارش می‌شود.
چگونه تلگرام را در Android، iPhone و رایانه به‌روزرسانی کنم؟
جدیدترین نسخهٔ تلگرام را از فروشگاه رسمی یا telegram.org روی هر دستگاهی که استفاده می‌کنید نصب کنید و سپس برنامه را دوباره باز کنید [7][9]. هر برنامه جداگانه به‌روز می‌شود؛ پس گوشی وصله‌شده از برنامهٔ دسکتاپ قدیمی در همان حساب محافظت نمی‌کند.
- Android: Google Play را باز کنید، تلگرام را جست‌وجو کنید و Update را بزنید. اگر از وب‌سایت خود تلگرام نصب کرده‌اید، جدیدترین نسخه را از همان سایت رسمی بگیرید.
- iPhone و iPad: App Store را باز کنید، به صفحهٔ حساب خود بروید و تلگرام را به‌روز کنید، یا به‌روزرسانی خودکار برنامه‌ها را روشن کنید.
- Windows و Linux (Telegram Desktop): از بررسی به‌روزرسانی در تنظیمات برنامه استفاده کنید یا جدیدترین نسخه را از telegram.org بگیرید؛ تا ۱۳ نوامبر ۲۰۲۶ جدیدترین انتشار عمومی 7.4.4 است [9].
- macOS: بسته به محل نصب، تلگرام را از Mac App Store یا از درون خود برنامه به‌روز کنید.
- Telegram Web: صفحه را دوباره بارگذاری کنید تا مرورگر جدیدترین کد را بگیرد.
پس از به‌روزرسانی، تنظیمات و سپس Devices (یا Active Sessions) را باز کنید و هر نشستی را که نمی‌شناسید پایان دهید. این کار باگ‌های ویجت را رفع نمی‌کند، اما اگر مشکل دیگری پیش آمده باشد درها را می‌بندد.
چگونه از رباتها و ویجتهای مخرب تلگرام در امان بمانم؟
ربات‌هایی را که نمی‌شناسید راهاندازی نکنید و هر رباتی را که محتوای تعاملی غیرمنتظره می‌فرستد حذف و مسدود کنید [10]. در محیط عملیاتی ویجتها فقط به چت‌های خصوصی فرستاده میشوند [1] و گزارش‌های رسانه‌ای دربارهٔ نمایش V12 میگویند کاربر نخست ربات را راهاندازی کرده بود [11][12]؛ پس عادت محتاطانه در زدن دکمهٔ Start مسیر نشان‌داده‌شده را می‌بندد.
- فقط ربات‌هایی را راهاندازی کنید که به آن‌ها اعتماد دارید: ربات سرویسی که از قبل استفاده می‌کنید و از وب‌سایت رسمی‌اش پیوند شده است.
- به پیوندهایی که تلگرام پرمیوم رایگان، ایردراپ رمزارز، هدیه یا «تأیید هویت» وعده می‌دهند بدگمان باشید. این‌ها طعمه‌های معمول برای وادار کردن کسی به باز کردن یک ربات‌اند.
- برنامه‌های تلگرام دست‌کاری‌شده یا غیررسمی نصب نکنید. ممکن است از اصلاحات امنیتی رسمی عقب بمانند.
- تأیید دومرحلهای (two-step verification) را با گذرواژه‌ای قوی روشن کنید تا یک نشست دزدیده‌شده یا کد پیامکی بهتنهایی برای تصاحب حساب شما کافی نباشد.
- سیستم‌عامل گوشی خود را به‌روز نگه دارید؛ این کار دامنهٔ دسترسی هر باگ برنامه را محدود می‌کند.
اگر گمان می‌کنید حساب شما از قبل در اختیار دیگری قرار گرفته، مراحل راهنمای پویام WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down را دنبال کنید.
آیا باگ‌های بیشتری در ویجتهای تلگرام خواهد بود؟
احتمالاً باگ‌های بیشتری گزارش خواهد شد، چون موتور ویجت تازه و عمومی است و اکنون زیر نگاه دقیق پژوهشگران قرار دارد [5][8]. پروژهٔ widget-sandbox تلگرام میان ۹ تا ۱۲ نوامبر چهار انتشار منتشر کرد که دو تای آن‌ها اصلاحات امنیتی یا سخت‌سازی موتور QuickJS معرفی شده‌اند [8] و برنامهٔ دسکتاپ در هشت روز چهار به‌روزرسانی ارائه کرد [9].
نشانه‌هایی که باید دنبال کرد: یک اطلاعیهٔ امنیتی رسمی تلگرام، شناسه‌های CVE برای باگ‌های QuickJS، تأیید یا ردّ مستقل ادعای ۱۳ نوامبر دربارهٔ Windows و هر گزارشی از سوءاستفاده از ویجتها علیه کاربران واقعی [5][10]. تا آن زمان، امن‌ترین رویکرد این است که ویجتهای رباتهای ناشناس را کدی نامعتبر بدانید، که همین هم هست.
| پلتفرم | نسخهٔ آسیب‌دیده (به گفتهٔ پژوهشگر) | وضعیت رفع (سابقهٔ عمومی) |
|---|---|---|
| Android | 72889, 72929, 73029, 73039 | تلگرام: ۱۰ نوامبر رفع شد، ۱۱ نوامبر برای همهٔ کاربران عرضه شد |
| iOS | 13.2 | در نسخه‌های کنونی رفع شده است (پژوهشگر) |
| Desktop (Telegram Desktop) | 7.4.0 | به‌روزرسانی‌های 7.4.1 تا 7.4.4؛ ادعای تازهٔ ۱۳ نوامبر محل اختلاف است |
| macOS | 13.1 | در نسخه‌های کنونی رفع شده است (پژوهشگر) |
| موتور ویجت (مشترک) | موتور پیش از v0.6.4 | v0.6.4 در ۱۰ نوامبر، v0.6.5 در ۱۲ نوامبر |
اشتباه‌های رایج
به‌روزرسانی گوشی اما نه برنامهٔ دسکتاپ.
راه درست: هر برنامهٔ تلگرام جداگانه به‌روز می‌شود؛ برنامه‌های Android، iOS، دسکتاپ و macOS را به‌روز کنید و Telegram Web را دوباره بارگذاری کنید [7][9].
راهاندازی رباتها از پیوندهای تصادفی.
راه درست: رباتها فقط به کسانی می‌توانند پیام بدهند که آن‌ها را راهاندازی کرده‌اند؛ پس فقط رباتهای مورد اعتماد را راهاندازی کنید [10].
استفاده از کلاینت دست‌کاری‌شدهٔ تلگرام برای دور زدن مسدودسازی.
راه درست: از برنامهٔ رسمی و یک VPN قابل‌اعتماد استفاده کنید؛ انشعاب‌های غیررسمی ممکن است اصلاحات امنیتی را از دست بدهند.
باور کردن ادعای هر یک از دو طرف بدون بررسی.
راه درست: دوروف و پژوهشگران بر سر شدت آسیبپذیری اختلاف دارند؛ وصله‌های رسمی را دنبال کنید و در هر حال محتاط بمانید [6][7].
حذف هراسان حساب کاربری.
راه درست: هیچ حملهای به کاربران عادی گزارش نشده است؛ به‌روزرسانی کنید، نشستهای فعال را بررسی کنید و تأیید دومرحلهای را روشن کنید [10].
پرسش‌های پرتکرار
آیا کسی از راه آسیبپذیری ویجت تلگرام هک شده است؟
تا ۱۳ نوامبر ۲۰۲۶ هیچ حملهای به کاربران عادی علناً گزارش نشده است؛ موارد شناختهشده نمایشهای پژوهشگراناند [3][10].
آیا صرفاً با دریافت یک پیام تلگرام میتوان هک شد؟
محل اختلاف است. دوروف میگوید نخست باید یک ربات شخص ثالث راهاندازی میشد؛ پژوهشگران میگویند ویجتها هنگام نمایش و بدون ضربه اجرا میشوند [6][7].
کدام نسخهٔ تلگرام امن است؟
جدیدترین نسخه در هر پلتفرم؛ پژوهشگر بیلدهای Android با شمارهٔ 72889، 72929، 73029 و 73039، iOS 13.2، Desktop 7.4.0 و macOS 13.1 را آسیب‌دیده می‌داند و Desktop 7.4.4 در ۱۳ نوامبر منتشر شد [7][9].
آیا میتوانم ویجتهای تلگرام را خاموش کنم؟
تلگرام کلیدی برای خاموش کردن ویجتها توسط کاربران اعلام نکرده است؛ حفاظت عملی راهاندازی نکردن رباتهای ناشناس است [1][10]. Kod.ru در ۱۳ نوامبر به نقل از Gram News گزارش داد تلگرام ویجتهای HTML را برای همهٔ رباتها از سمت سرور غیرفعال کرده است [11].
آیا باید گذرواژهٔ تلگرام را عوض کنم؟
بهخاطر همین آسیبپذیری بهتنهایی نه، اما روشن کردن تأیید دومرحلهای و پایان دادن به نشستهای ناشناس احتیاطی معقول است.
آیا برای آسیبپذیری ویجت تلگرام CVE وجود دارد؟
خیر. تلگرام تا ۱۳ نوامبر ۲۰۲۶ اطلاعیهٔ امنیتی یا شناسهٔ CVE منتشر نکرده است [10].
واژه‌نامه
- ویجت (Widget)
- برنامه‌ای تعاملی و کوچک که درون پیام تلگرام فرستاده می‌شود و با Bot API 10.4 افزوده شد [1].
- اجرای کد از راه دور (RCE)
- نقصی که به مهاجم اجازه می‌دهد کد خودش را روی دستگاه دیگری اجرا کند.
- QuickJS
- موتور فشردهٔ جاوااسکریپتی که برنامه‌های تلگرام برای اجرای ویجتها به کار می‌برند [7].
- سندباکس (Sandbox)
- فضایی محدود که برای جلوگیری از دسترسی کد به بقیهٔ برنامه یا دستگاه ساخته شده است.
- CVE
- شناسه‌ای عمومی که به یک نقص امنیتی شناختهشده اختصاص می‌یابد.
منابع
- Bot API changelog (Bot API 10.4) Telegram · 2026-11-09
- Any Telegram message can now become an app Pavel Durov on X · 2026-11-10
- Any telegram message can now become RCE V12 (@v12sec) on X · 2026-11-11
- Reply on the Android fix Telegram on X · 2026-11-11
- Another RCE claim against the patched Windows client V12 (@v12sec) on X · 2026-11-13
- Re alleged RCE in new TG Android/Windows widgets Pavel Durov on X · 2026-11-13
- tg-widget-rce: write-up of the Telegram widget engine bugs davtur19 on GitHub · 2026-11-11
- widget-sandbox: changes (v0.6.4 and v0.6.5) Telegram on GitHub · 2026-11-12
- Telegram Desktop releases Telegram Desktop on GitHub · 2026-11-13
- Telegram widget bug hit iOS and desktop too; Durov disputes risk CyberSIXT · 2026-11-13
- Telegram disabled HTML widgets, but Durov denies the problem Kod.ru · 2026-11-13
- RCE vulnerability found in Telegram's new HTML widgets Habr · 2026-11-11
نظرات
نظرهای برتر