Mise à jour Telegram : installer le correctif des widgets

Quelle version de Telegram corrige la faille des widgets ?

Le correctif des widgets figure dans Telegram pour Android 13.2.2 ou plus récent et dans Telegram Desktop 7.4.3 ou plus récent ; sur iPhone, iPad et Mac, installez la dernière version depuis l'App Store ou le Mac App Store, car aucun build corrigé précis n'a été publié ^[1][2]. Ces numéros viennent du code open source et des listes de versions de Telegram, lus par des journalistes indépendants, et non d'un bulletin de Telegram : il n'en existe pas ^[2][7].

La faille se trouvait dans QuickJS, le petit moteur JavaScript qui exécute les widgets interactifs que Telegram a ajoutés pour les bots avec l'API Bot 10.4 le 9 novembre 2026 ^[9]. Le 11 novembre, la société de sécurité V12 a publié une vidéo où un message contenant un widget lançait la calculatrice sur un téléphone Android, signe habituel qu'un code extérieur s'exécute sur l'appareil ^[1]. Gram News a rapproché ce rapport d'un correctif de QuickJS daté du 10 novembre, 21 minutes avant l'annonce de Pavel Durov ouvrant les widgets à tous les bots, et indique que le correctif a été livré dans Telegram pour Android 13.2.2 (build 7303) ^[1].

Telegram Desktop a eu besoin de deux tentatives. Neurocrat, qui a comparé les builds, rapporte que la version 7.4.2 du 11 novembre contenait cinq autres corrections de mémoire mais pas le correctif clé, arrivé seulement avec la 7.4.3 ^[2]. La liste publique des versions montre la 7.4.3 le 12 novembre et la 7.4.4 le 13 novembre, toutes deux décrites seulement par « Bug fixes and other minor improvements » ^[3].

Pour les appareils Apple, la situation est moins précise. L'archive des chercheurs cite Telegram pour iOS 13.2 et Telegram pour macOS 13.1 parmi les builds touchés et affirme que les bugs publiés sont corrigés dans les builds actuels ^[8]. Neurocrat n'a pas trouvé de numéros de build contenant les correctifs pour l'iPhone ou le Mac ^[2]. La règle pratique est simple : quel que soit votre appareil, la dernière version officielle est celle qu'il vous faut.

Ce guide est la suite pratique, étape par étape, du guide Pouyam Telegram Widgets Flaw: Is Telegram Safe and How to Update, qui explique la faille elle-même et le désaccord sur sa gravité.

Comment savoir quelle version de Telegram j'utilise ?

Sur Android, le numéro de version s'affiche tout en bas de l'écran Paramètres de Telegram ; sur les autres appareils, il se trouve dans les réglages de l'application ou dans les informations de l'application du système ^[1]. Comparez-le avec le tableau ci-dessous. Si votre numéro est inférieur à celui indiqué, faites la mise à jour avant d'ouvrir une discussion avec un bot.

Dans Telegram Desktop pour Windows et Linux, ouvrez Paramètres, puis Avancé : la section consacrée à la version et aux mises à jour affiche la version installée et permet d'en rechercher une nouvelle. Sur iPhone ou iPad, le système indique la version d'une app dans Réglages, Général, Stockage iPhone (ou Stockage iPad), puis Telegram. Sur Mac, ouvrez le menu de l'application et choisissez « À propos de Telegram ».

Deux détails prêtent souvent à confusion. D'abord, sur Android, numéro de build et numéro de version sont deux choses différentes : Gram News donne la version corrigée 13.2.2 avec le numéro de build 7303 entre parenthèses ^[1]. L'archive des chercheurs désigne les anciens builds Android par des codes plus longs, comme 72889, 72929, 73029 et 73039 ^[8]. Ensuite, il existe deux applications Telegram pour Mac : Telegram pour macOS, du Mac App Store, que les chercheurs citent en version 13.1 pour la version touchée, et Telegram Desktop, la même application que sous Windows, qui suit la numérotation 7.4.x ^[3][8].

Vérifier la version reste utile même si votre téléphone met à jour les applications automatiquement. Ces mises à jour peuvent être retardées de plusieurs jours par un stockage plein, le mode économie d'énergie, une connexion limitée ou un compte de boutique déconnecté.

Comment mettre à jour Telegram sur Android ?

Mettez Telegram à jour depuis Google Play, ou depuis le site de Telegram si c'est là que vous l'avez installé, et vérifiez que la version affichée ensuite est 13.2.2 ou supérieure ^[1]. Telegram a déclaré le 11 novembre 2026 que le correctif Android avait été « déployé auprès de tous les utilisateurs » ; la mise à jour devrait donc déjà être proposée dans la boutique ^[10].

1. Ouvrez Google Play, touchez votre photo de profil, puis « Gérer les applications et l'appareil », et cherchez Telegram parmi les mises à jour disponibles. Touchez « Mettre à jour ».
2. Si vous avez installé Telegram avec l'APK de telegram.org, téléchargez la dernière APK sur ce même site officiel et installez-la par-dessus l'ancienne ; vos discussions sont conservées.
3. Ouvrez Telegram, allez dans Paramètres et faites défiler jusqu'en bas pour lire le numéro de version ^[1].
4. Redémarrez l'application une fois, pour que le nouveau moteur de widgets soit bien utilisé.

Gram News souligne que les cinq autres corrections du moteur publiées plus tard le 10 novembre dans widget-sandbox 0.6.4 ne semblent pas intégrées à la 13.2.2 elle-même ^[1][5]. C'est une raison de continuer à mettre à jour au-delà du minimum : chaque build plus récent peut contenir davantage des corrections listées dans le journal public des modifications de Telegram ^[5].

Évitez les sites de téléchargement d'APK, les clients modifiés et les versions non officielles « plus » ou « gold ». Ils ne sont pas compilés à partir du code actuel de Telegram selon son calendrier ; un correctif qui atteint l'application officielle peut y arriver tard, voire jamais. Le guide Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks explique pourquoi les versions non officielles sont en soi un risque de sécurité.

Comment mettre à jour Telegram Desktop sur Windows et Linux ?

Ouvrez Paramètres, puis Avancé, et recherchez une mise à jour dans la section version et mises à jour, ou téléchargez le dernier build sur telegram.org ; il vous faut la 7.4.3 ou plus, et la 7.4.4 est la plus récente au 15 novembre 2026 ^[2][3]. L'application de bureau figurait, en version 7.4.0, parmi les clients que les chercheurs ont déclarés touchés ^[8].

1. Dans Telegram Desktop, ouvrez le menu, puis Paramètres, puis Avancé.
2. Activez les mises à jour automatiques si l'option est désactivée, puis lancez la recherche de mises à jour. Une fois le téléchargement terminé, redémarrez Telegram quand l'application le demande.
3. Vérifiez de nouveau le numéro de version dans la même section. Il doit indiquer 7.4.3 ou plus ^[3].
4. Si vous avez installé Telegram via le Microsoft Store, un gestionnaire de paquets Linux, Flatpak ou Snap, mettez-le à jour par ce même canal ; ces builds peuvent arriver un peu après la publication sur GitHub ^[3].

Les utilisateurs de Windows doivent ajouter une précaution cette semaine. Le 13 novembre, les chercheurs de V12 ont revendiqué une autre voie d'exécution de code sur ce qu'ils appellent le client Windows corrigé ; cette affirmation figure dans un seul message, et aucune confirmation indépendante n'a été trouvée dans les sources examinées ^[11]. Telegram Desktop 7.4.4 est sorti plus tard le 13 novembre, sans notes détaillées ^[3]. Tant que la question reste ouverte, rester sur le dernier build est la seule protection dont dispose un utilisateur ordinaire.

Si vous utilisez Telegram sur un ordinateur professionnel que vous ne pouvez pas mettre à jour vous-même, demandez au service informatique de déployer la 7.4.4 ou plus, et d'ici là n'ouvrez pas de discussions avec des bots sur cette machine.

Comment mettre à jour Telegram sur iPhone, iPad et Mac ?

Installez la dernière version de Telegram depuis l'App Store ou le Mac App Store ; selon les chercheurs, les bugs trouvés dans Telegram pour iOS 13.2 et Telegram pour macOS 13.1 sont corrigés dans les builds actuels, mais aucun numéro de build corrigé précis n'est public ^[2][8]. Ni Telegram ni les articles indépendants n'ont donné de version minimale sûre pour les appareils Apple, et CryptoSlate note que l'archive des chercheurs n'en établit pas pour chaque client ^[2][4].

1. iPhone et iPad : ouvrez l'App Store, touchez votre photo de compte en haut, faites défiler jusqu'à la liste des mises à jour et touchez « Mettre à jour » à côté de Telegram. Pour ne plus avoir à le faire, activez les mises à jour automatiques des apps dans les réglages de l'App Store.
2. Mac, Telegram pour macOS : ouvrez le Mac App Store, choisissez « Mises à jour » et mettez Telegram à jour.
3. Mac, Telegram Desktop : c'est la même application que sous Windows ; mettez-la à jour depuis Paramètres, Avancé, et vérifiez qu'elle affiche 7.4.3 ou plus ^[3].
4. Après la mise à jour, fermez complètement l'application puis rouvrez-la.

Si l'App Store indique que Telegram est à jour, vous avez déjà le dernier build public. Un utilisateur ordinaire ne peut rien installer de plus ; la protection qui reste est un comportement prudent : ne lancez pas de bots que vous ne connaissez pas ^[6].

Les personnes qui ont besoin d'une protection renforcée, comme les journalistes et les militants, doivent aussi garder iOS à jour sur leur iPhone. Une mise à jour du système limite ce qu'un bug d'application peut atteindre, quelle que soit la messagerie concernée.

Qu'est-ce qui change dans Telegram pour Android 13.2.2 ?

En plus du correctif du moteur, Telegram pour Android 13.2.2 déplace tout le code des widgets dans un processus séparé et verrouillé : un futur bug du même type aboutirait ainsi dans un espace sans accès à votre compte, à vos discussions ni à vos clés ^[1]. Selon Gram News, le commit de la version touche 96 fichiers et environ 6.800 lignes, en majorité pour cette nouvelle frontière ^[1].

D'après la documentation du code du client, résumée par Gram News, le nouveau processus nommé :widgets exécute le JavaScript du widget, son validateur et son moteur de rendu ^[1]. Il n'a aucune autorisation Android, aucun réseau et aucun accès aux fichiers de l'application ^[1]. Le processus principal de Telegram ne charge plus du tout la bibliothèque du moteur, et tout ce que renvoie le processus des widgets est considéré comme non fiable et vérifié à nouveau, par exemple un seul lien autorisé par toucher réel ^[1].

Un filtre d'appels système appelé seccomp vient s'y ajouter. Pour l'instant, il fonctionne surtout en mode journalisation, c'est-à-dire qu'il enregistre les appels interdits au lieu de les bloquer, mais le lancement de programmes et la création de nouveaux processus sont déjà refusés ^[1]. Un seul processus sert tous les widgets, plutôt qu'un par bot ; selon Gram News, un processus distinct par bot a été abandonné parce que chacun consommerait environ 25 Mo de mémoire ^[1].

Cela compte pour mesurer la protection apportée par le numéro de version. Avant ce changement, le chercheur Joel Eriksson avait noté que le moteur tournait dans le processus de Telegram lui-même, si bien qu'un exploit du moteur obtenait les privilèges de l'application ^[7]. L'archive des chercheurs signale une exécution de code au niveau de l'application sur certains anciens builds Android, mais des résultats confinés dans un processus de widgets isolé sur des builds plus récents comme 72979 et 72989 ^[4]. En bref, les builds récents suppriment les bugs publiés et limitent aussi les dégâts qu'un nouveau bug pourrait causer.

Les bots peuvent-ils encore envoyer des widgets après le correctif ?

Pour l'instant, non : le 13 novembre 2026, un contributeur du dépôt de la Bot API de Telegram a confirmé que les bots généraux ne sont pas autorisés à utiliser les widgets, même en discussion privée ^[4]. Les développeurs qui envoyaient des widgets ont commencé à recevoir l'erreur INPUT_MEDIA_WIDGET_NOT_ALLOWED, rapporte CryptoSlate ^[4].

Le fondateur de Telegram, Pavel Durov, a déclaré le 13 novembre : « No one could be hacked just by receiving a message » (personne ne pouvait être piraté simplement en recevant un message), qu'un utilisateur « had to actively start a third-party service first » et que « Even that is fully patched server-side » ^[6]. La restriction côté serveur et sa déclaration vont dans le même sens : selon Durov, la voie d'attaque supposait un service tiers que l'utilisateur avait lancé au préalable ^[4][6].

Cela ne rend pas la mise à jour facultative. CryptoSlate relève que la restriction ne précise pas comment s'affichent les widgets déjà livrés, pourquoi l'accès a été restreint ni quand il pourrait revenir ^[4]. Quand les widgets seront rouverts aux bots, seule une application à jour contiendra le moteur corrigé. Le code d'un widget peut aussi faire plus qu'afficher du contenu : la conception documentée de Telegram permet aux widgets d'interroger la carte de portefeuille TON d'un utilisateur ou de demander des données signées par le portefeuille, une raison de plus de garder le client à jour ^[4].

Le code commun des widgets continue lui aussi d'évoluer. Le projet widget-sandbox de Telegram a publié la version 0.6.4 le 10 novembre, avec cinq corrections de sécurité mémoire, puis la version 0.6.5 le 12 novembre, qui limite la profondeur d'imbrication des éléments d'un widget à 1.024 niveaux ^[5]. Chaque client n'intègre ces changements qu'avec une nouvelle version de l'application ^[5].

Que faire si je ne peux pas mettre à jour Telegram tout de suite ?

Si vous ne pouvez pas encore installer la version corrigée, n'ouvrez pas de discussions avec des bots inconnus et ne lancez aucun nouveau bot avant la mise à jour ^[1][6]. Gram News conseille d'éviter les discussions où des bots inconnus envoient des widgets jusqu'à la mise à jour, car le code d'un widget s'exécute dès que sa bulle apparaît à l'écran ^[1].

• Vérifiez d'abord le stockage : un téléphone plein est la cause la plus fréquente d'un échec silencieux de mise à jour. Libérez de l'espace et réessayez.
• Si Google Play n'est pas disponible sur votre téléphone ou dans votre pays, utilisez l'APK officielle de telegram.org plutôt qu'un site miroir.
• Sur un ordinateur partagé ou professionnel que vous ne pouvez pas mettre à jour, utilisez plutôt Telegram sur un téléphone à jour et déconnectez l'ancienne session de bureau.
• Ouvrez Paramètres, puis Appareils, et mettez fin à toute session que vous ne reconnaissez pas. Cela ne corrige pas le moteur, mais limite les dégâts si un compte a déjà été exposé d'une autre manière.
• Activez la validation en deux étapes avec un mot de passe solide, pour qu'un code de connexion volé ne suffise pas à prendre le contrôle du compte.

Au 15 novembre 2026, CryptoSlate indique que les démonstrations des chercheurs n'établissent ni vol d'actifs ni exploitation malveillante à grande échelle, et les chercheurs disent que les bugs publiés touchaient d'anciens builds désormais corrigés dans les builds actuels ^[4][8]. C'est rassurant mais ce n'est pas une garantie, car Telegram n'a pas dit si la faille avait été exploitée avant le correctif ^[7].

Si vous pensez que votre compte a été piraté, suivez le guide Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. Si vous avez oublié votre mot de passe cloud en sécurisant le compte, consultez Forgot Your Telegram Two-Step Password? Recovery With or Without Email.