עדכון טלגרם: איך מתקינים את תיקון האבטחה של הווידג'טים

איזו גרסת טלגרם מתקנת את פרצת הווידג'טים?

תיקון הווידג'טים נמצא ב-Telegram ל-Android 13.2.2 ומעלה וב-Telegram Desktop 7.4.3 ומעלה; ב-iPhone, ב-iPad וב-Mac התקינו את הגרסה העדכנית מה-App Store או מה-Mac App Store, משום שלא פורסם בילד מתוקן מדויק ^[1][2]. המספרים האלה מגיעים מהקוד הפתוח ומרשימות הגרסאות של טלגרם, כפי שניתחו אותם כותבים עצמאיים, ולא מהודעת אבטחה של טלגרם: הודעה כזו לא פורסמה ^[2][7].

הפגם היה ב-QuickJS, מנוע ה-JavaScript הקטן שמריץ את הווידג'טים האינטראקטיביים שטלגרם הוסיפה לבוטים ב-Bot API 10.4 ב-9 בנובמבר 2026 ^[9]. ב-11 בנובמבר פרסמה חברת האבטחה V12 סרטון שבו הודעת ווידג'ט הפעילה את המחשבון בטלפון Android, הסימן המקובל לכך שקוד חיצוני רץ במכשיר ^[1]. Gram News התאימה את הדיווח לתיקון ב-QuickJS מ-10 בנובמבר, 21 דקות לפני ההכרזה של פאבל דורוב על פתיחת הווידג'טים לכל הבוטים, ואומרת שהתיקון יצא בטלגרם ל-Android בגרסה 13.2.2 (בילד 7303) ^[1].

ב-Telegram Desktop נדרשו שני ניסיונות. Neurocrat, שהשווה בין הבילדים, מדווח שגרסה 7.4.2 מ-11 בנובמבר כללה חמישה תיקוני זיכרון אחרים אך לא את התיקון המרכזי, שהגיע רק ב-7.4.3 ^[2]. רשימת הגרסאות הציבורית מציגה את 7.4.3 ב-12 בנובמבר ואת 7.4.4 ב-13 בנובמבר, ושתיהן מתוארות רק במילים "Bug fixes and other minor improvements" ^[3].

במכשירי Apple התמונה פחות מדויקת. הארכיון של החוקרים מונה את Telegram ל-iOS 13.2 ואת Telegram ל-macOS 13.1 בין הבילדים הפגיעים, וקובע שהבאגים שפורסמו תוקנו בבילדים הנוכחיים ^[8]. Neurocrat לא מצא מספרי בילד עם התיקונים ל-iPhone או ל-Mac ^[2]. הכלל המעשי פשוט: בכל מכשיר, הגרסה הרשמית העדכנית ביותר היא זו שצריך.

מדריך זה הוא ההמשך המעשי, שלב אחר שלב, למדריך של Pouyam בשם Telegram Widgets Flaw: Is Telegram Safe and How to Update, שמסביר את הפרצה עצמה ואת המחלוקת על מידת הסכנה שבה.

איך אדע איזו גרסת טלגרם מותקנת אצלי?

ב-Android מספר הגרסה מופיע בתחתית מסך ההגדרות של טלגרם; במכשירים אחרים הוא נמצא בהגדרות האפליקציה או בפרטי האפליקציה במערכת ^[1]. השוו אותו לטבלה שלהלן. אם המספר שלכם נמוך מהמספר המופיע, עדכנו לפני שאתם פותחים צ'אט עם בוט כלשהו.

ב-Telegram Desktop ל-Windows ול-Linux פתחו את ההגדרות ואז "מתקדם": אזור הגרסה והעדכונים מציג את הגרסה המותקנת ומאפשר לחפש גרסה חדשה. ב-iPhone או ב-iPad המערכת מציגה את גרסת האפליקציה תחת הגדרות, כללי, אחסון ב-iPhone (או ב-iPad) ואז Telegram. ב-Mac פתחו את תפריט האפליקציה ובחרו "אודות Telegram".

שני פרטים מבלבלים לעיתים קרובות. הראשון: ב-Android מספר בילד ומספר גרסה הם דברים שונים. Gram News מציין את הגרסה המתוקנת 13.2.2 ואת מספר הבילד 7303 בסוגריים ^[1]. הארכיון של החוקרים מתייחס לבילדים ישנים של Android בקודים ארוכים יותר, כמו 72889, 72929, 73029 ו-73039 ^[8]. השני: יש שתי אפליקציות טלגרם ל-Mac: Telegram ל-macOS מה-Mac App Store, שהחוקרים מציינים את גרסה 13.1 שלה כפגיעה, ו-Telegram Desktop, אותה אפליקציה כמו ב-Windows, שעוקבת אחרי מספור 7.4.x ^[3][8].

כדאי לבדוק את הגרסה גם אם הטלפון מעדכן אפליקציות אוטומטית. עדכונים אוטומטיים עלולים להתעכב בימים בגלל מחסור באחסון, מצב חיסכון בסוללה, חיבור מוגבל או חשבון חנות מנותק.

איך מעדכנים את טלגרם ב-Android?

עדכנו את טלגרם דרך Google Play, או דרך האתר של טלגרם אם משם התקנתם, וודאו שאחר כך מוצגת גרסה 13.2.2 ומעלה ^[1]. טלגרם הודיעה ב-11 בנובמבר 2026 שתיקון ה-Android "הופץ לכל המשתמשים", כך שהעדכון אמור כבר להופיע בחנות ^[10].

1. פתחו את Google Play, הקישו על תמונת הפרופיל, אחר כך על "ניהול אפליקציות ומכשיר", וחפשו את Telegram בין העדכונים הזמינים. הקישו על "עדכון".
2. אם התקנתם את טלגרם מקובץ APK שב-telegram.org, הורידו את קובץ ה-APK העדכני מאותו אתר רשמי והתקינו אותו מעל הישן; הצ'אטים שלכם יישמרו.
3. פתחו את טלגרם, עברו להגדרות וגללו לתחתית כדי לקרוא את מספר הגרסה ^[1].
4. הפעילו את האפליקציה מחדש פעם אחת, כדי שמנוע הווידג'טים החדש ייכנס לשימוש.

Gram News מציין שחמשת תיקוני המנוע הנוספים ב-widget-sandbox 0.6.4, שפורסמו מאוחר יותר ב-10 בנובמבר, אינם נראים משולבים ב-13.2.2 עצמה ^[1][5]. זו סיבה להמשיך לעדכן מעבר למינימום: כל בילד חדש יותר יכול לכלול עוד מתיקוני המנוע המופיעים ביומן השינויים הציבורי של טלגרם ^[5].

הימנעו מאתרי הורדת APK, מלקוחות ששונו ומגרסאות לא רשמיות מסוג "plus" או "gold". הן אינן נבנות מהקוד הנוכחי של טלגרם ולפי לוח הזמנים שלה, ולכן תיקון שמגיע לאפליקציה הרשמית עלול להגיע אליהן באיחור או בכלל לא. המדריך של Pouyam בשם Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks מסביר מדוע גרסאות לא רשמיות הן סיכון אבטחה בפני עצמן.

איך מעדכנים את Telegram Desktop ב-Windows וב-Linux?

פתחו את ההגדרות ואז "מתקדם" וחפשו עדכון באזור הגרסה והעדכונים, או הורידו את הבילד העדכני מ-telegram.org; נדרשת גרסה 7.4.3 ומעלה, ו-7.4.4 היא העדכנית ביותר נכון ל-15 בנובמבר 2026 ^[2][3]. אפליקציית המחשב, בגרסה 7.4.0, הייתה בין הלקוחות שהחוקרים ציינו כפגיעים ^[8].

1. ב-Telegram Desktop פתחו את התפריט, אחר כך את ההגדרות ואז "מתקדם".
2. הפעילו עדכונים אוטומטיים אם האפשרות כבויה, ואז בחרו באפשרות לבדיקת עדכונים. כשההורדה מסתיימת, הפעילו את טלגרם מחדש כשתתבקשו.
3. בדקו שוב את מספר הגרסה באותו אזור. הוא אמור להיות 7.4.3 ומעלה ^[3].
4. אם התקנתם את טלגרם דרך Microsoft Store, מנהל חבילות של Linux, Flatpak או Snap, עדכנו דרך אותו ערוץ; בילדים אלה עשויים להגיע מעט אחרי הפרסום ב-GitHub ^[3].

משתמשי Windows צריכים לנקוט צעד נוסף השבוע. ב-13 בנובמבר טענו החוקרים של V12 שמצאו נתיב נוסף להרצת קוד במה שכינו לקוח ה-Windows המתוקן, טענה שהופיעה בפוסט יחיד ושלא נמצא לה אישור עצמאי במקורות שנבדקו ^[11]. Telegram Desktop 7.4.4 יצאה מאוחר יותר ב-13 בנובמבר, בלי הערות מפורטות ^[3]. כל עוד השאלה פתוחה, הישארות על הבילד העדכני היא ההגנה היחידה שיש למשתמש רגיל.

אם אתם משתמשים בטלגרם במחשב עבודה שאינכם יכולים לעדכן בעצמכם, בקשו ממחלקת המחשוב להתקין את 7.4.4 ומעלה, ועד אז אל תפתחו צ'אטים עם בוטים במחשב הזה.

איך מעדכנים את טלגרם ב-iPhone, ב-iPad וב-Mac?

התקינו את טלגרם העדכנית מה-App Store או מה-Mac App Store; לדברי החוקרים, הבאגים שמצאו ב-Telegram ל-iOS 13.2 וב-Telegram ל-macOS 13.1 תוקנו בבילדים הנוכחיים, אך מספר בילד מתוקן מדויק לא פורסם ^[2][8]. לא טלגרם ולא הדיווחים העצמאיים ציינו גרסת מינימום בטוחה למכשירי Apple, ו-CryptoSlate מעיר שהארכיון של החוקרים אינו קובע גרסה כזו לכל לקוח ^[2][4].

1. iPhone ו-iPad: פתחו את ה-App Store, הקישו על תמונת החשבון למעלה, גללו לרשימת העדכונים והקישו על "עדכון" ליד Telegram. כדי לא לחזור על כך בעתיד, הפעילו עדכוני אפליקציות אוטומטיים בהגדרות ה-App Store.
2. Mac, Telegram ל-macOS: פתחו את ה-Mac App Store, בחרו "עדכונים" ועדכנו את Telegram.
3. Mac, Telegram Desktop: זו אותה אפליקציה כמו ב-Windows; עדכנו אותה דרך ההגדרות ואז "מתקדם", וודאו שמוצגת 7.4.3 ומעלה ^[3].
4. לאחר העדכון סגרו את האפליקציה לגמרי ופתחו אותה מחדש.

אם ה-App Store מודיע שטלגרם מעודכנת, כבר יש לכם הבילד הציבורי העדכני ביותר. משתמש רגיל לא יכול להתקין דבר נוסף; ההגנה שנותרה היא התנהגות: אל תפעילו בוטים שאינכם מכירים ^[6].

מי שזקוק להגנה חזקה יותר, כמו עיתונאים ופעילים, צריך גם לשמור על גרסת iOS עדכנית ב-iPhone. עדכון מערכת ההפעלה מגביל את מה שבאג באפליקציה יכול להשיג, באיזו אפליקציית מסרים שלא יהיה.

מה השתנה ב-Telegram ל-Android 13.2.2?

מלבד תיקון המנוע, Telegram ל-Android 13.2.2 מעביר את כל קוד הווידג'טים לתהליך נפרד ונעול, כך שבאג עתידי מאותו סוג ינחת במקום ללא גישה לחשבון, לצ'אטים או למפתחות שלכם ^[1]. לפי Gram News, הקומיט של הגרסה נוגע ב-96 קבצים ובכ-6.800 שורות, רובן עבור הגבול החדש הזה ^[1].

לפי התיעוד בקוד הלקוח, כפי ש-Gram News סיכם אותו, התהליך החדש בשם :widgets מריץ את ה-JavaScript של הווידג'ט, את המאמת שלו ואת מנוע התצוגה שלו ^[1]. אין לו הרשאות Android, אין לו רשת ואין לו גישה לקובצי האפליקציה ^[1]. התהליך הראשי של טלגרם כבר אינו טוען את ספריית המנוע כלל, וכל מה שתהליך הווידג'טים מחזיר נחשב לא אמין ונבדק מחדש; למשל, מותר קישור אחד לכל הקשה אמיתית ^[1].

מעל כל זה יושב מסנן קריאות מערכת בשם seccomp. בינתיים הוא פועל בעיקר במצב רישום, כלומר מתעד קריאות אסורות במקום לחסום אותן, אבל הרצת תוכנות ויצירת תהליכים חדשים כבר נדחות ^[1]. תהליך אחד משרת את כל הווידג'טים במקום תהליך נפרד לכל בוט; לפי Gram News, הרעיון של תהליך נפרד לכל בוט נזנח כי כל אחד היה צורך כ-25 MB של זיכרון ^[1].

זה חשוב כדי להבין כמה מספר הגרסה מגן עליכם. לפני השינוי ציין החוקר ג'ואל אריקסון (Joel Eriksson) שהמנוע רץ בתוך תהליך טלגרם עצמו, כך שניצול של המנוע קיבל את הרשאות האפליקציה ^[7]. הארכיון של החוקרים מדווח על הרצת קוד ברמת האפליקציה בכמה בילדים ישנים של Android, אך על תוצאות שנשארו כלואות בתהליך ווידג'טים מבודד בבילדים מאוחרים יותר כמו 72979 ו-72989 ^[4]. בקיצור, בילדים חדשים יותר גם מסירים את הבאגים שפורסמו וגם מגבילים את הנזק שבאג חדש עלול לגרום.

האם בוטים עדיין יכולים לשלוח ווידג'טים אחרי התיקון?

בינתיים לא: ב-13 בנובמבר 2026 אישר תורם למאגר ה-Bot API של טלגרם שבוטים כלליים אינם רשאים להשתמש בווידג'טים, גם לא בצ'אטים פרטיים ^[4]. מפתחים ששלחו ווידג'טים החלו לקבל את השגיאה INPUT_MEDIA_WIDGET_NOT_ALLOWED, כך דיווח CryptoSlate ^[4].

מייסד טלגרם, פאבל דורוב, אמר ב-13 בנובמבר: "No one could be hacked just by receiving a message" (אי אפשר היה לפרוץ לאיש רק בקבלת הודעה), שהמשתמש "had to actively start a third-party service first", וש-"Even that is fully patched server-side" ^[6]. ההגבלה בצד השרת וההצהרה שלו מצביעות לאותו כיוון: לפי דורוב, הנתיב דרש שירות צד שלישי שהמשתמש הפעיל קודם ^[4][6].

אין בכך כדי להפוך את העדכון לרשות. CryptoSlate מציין שההגבלה אינה מבהירה איך מוצגים ווידג'טים שכבר נמסרו, מדוע צומצמה הגישה ומתי היא עשויה לחזור ^[4]. כשהווידג'טים ייפתחו שוב לבוטים, רק אפליקציה מעודכנת תכלול את המנוע המתוקן. קוד של ווידג'ט יכול גם לעשות יותר מהצגת תוכן: העיצוב המתועד של טלגרם מאפשר לווידג'טים לשאול על כרטיס ארנק ה-TON של המשתמש או לבקש נתונים חתומים בארנק, וזו סיבה נוספת לשמור על הלקוח מעודכן ^[4].

גם הקוד המשותף של הווידג'טים ממשיך להשתנות. פרויקט widget-sandbox של טלגרם פרסם את גרסה 0.6.4 ב-10 בנובמבר עם חמישה תיקוני בטיחות זיכרון, ואת גרסה 0.6.5 ב-12 בנובמבר, שמגבילה את עומק הקינון של רכיבי ווידג'ט ל-1.024 רמות ^[5]. כל לקוח מקבל את השינויים האלה רק עם גרסת אפליקציה חדשה ^[5].

מה עושים אם אי אפשר לעדכן את טלגרם מיד?

אם אינכם יכולים עדיין להתקין את הגרסה המתוקנת, אל תפתחו צ'אטים עם בוטים שאינכם מכירים ואל תפעילו אף בוט חדש עד שתעדכנו ^[1][6]. Gram News ממליץ להימנע מצ'אטים שבהם בוטים לא מוכרים שולחים ווידג'טים עד לעדכון האפליקציה, כי הקוד של ווידג'ט רץ ברגע שהבועה שלו מופיעה על המסך ^[1].

• בדקו קודם את האחסון: טלפון מלא הוא הסיבה הנפוצה ביותר לכך שעדכון נכשל בשקט. פנו מקום ונסו שוב.
• אם Google Play אינו זמין בטלפון שלכם או במדינה שלכם, השתמשו בקובץ ה-APK הרשמי מ-telegram.org ולא באתר מראה.
• במחשב משותף או במחשב עבודה שאינכם יכולים לעדכן, השתמשו בטלגרם בטלפון מעודכן והתנתקו מסשן המחשב הישן.
• פתחו את ההגדרות ואז "מכשירים", וסיימו כל סשן שאינכם מזהים. זה לא מתקן את המנוע, אבל מגביל את הנזק אם החשבון כבר נחשף בדרך אחרת.
• הפעילו אימות דו-שלבי עם סיסמה חזקה, כדי שקוד כניסה גנוב לבדו לא יספיק להשתלט על החשבון.

נכון ל-15 בנובמבר 2026, CryptoSlate אומרת שההדגמות של החוקרים אינן מוכיחות גניבת נכסים או ניצול זדוני נרחב, והחוקרים אומרים שהבאגים שפרסמו השפיעו על בילדים ישנים שתוקנו כעת בבילדים הנוכחיים ^[4][8]. זה מרגיע אך אינו ערובה, כי טלגרם לא אמרה אם הפרצה נוצלה לפני התיקון ^[7].

אם אתם חושבים שהחשבון שלכם נפרץ, פעלו לפי המדריך של Pouyam בשם WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. אם שכחתם את סיסמת הענן בזמן אבטחת החשבון, ראו Forgot Your Telegram Two-Step Password? Recovery With or Without Email.