Telegramアップデート：ウィジェット脆弱性の修正方法

ウィジェットの脆弱性はどのTelegramバージョンで修正された？

ウィジェットの修正はAndroid版Telegram 13.2.2以降とTelegram Desktop 7.4.3以降に含まれています。iPhone、iPad、Macでは修正済みの正確なビルドが公表されていないため、App StoreまたはMac App Storeから最新版をインストールしてください ^[1][2]。これらの番号は、独立系メディアが読み解いたTelegramのオープンソースコードとリリース一覧によるもので、Telegramのセキュリティ勧告によるものではありません。勧告は出ていません ^[2][7]。

この欠陥はQuickJSにありました。QuickJSは、Telegramが2026年11月9日にBot API 10.4でボット向けに追加した対話型ウィジェットを動かす小さなJavaScriptエンジンです ^[9]。11月11日、セキュリティ企業のV12は、ウィジェットのメッセージがAndroidスマートフォンで電卓を起動する動画を公開しました。これは外部のコードが端末上で動いていることを示す定番の兆候です ^[1]。Gram Newsはこの報告を11月10日付のQuickJS修正と結びつけました。この修正は、パーヴェル・ドゥーロフ（Pavel Durov）氏がウィジェットをすべてのボットに開放すると発表する21分前のもので、修正はTelegram for Android 13.2.2（ビルド7303）で配信されたと同メディアは伝えています ^[1]。

Telegram Desktopは2回目で修正されました。各ビルドを比較したNeurocratによると、11月11日の7.4.2にはほかに5件のメモリ修正が入っていたものの肝心のパッチはなく、それは7.4.3で初めて入りました ^[2]。公開リリース一覧では、7.4.3が11月12日、7.4.4が11月13日に出ており、どちらの説明も「Bug fixes and other minor improvements」だけです ^[3]。

Apple製品については、状況はそれほど明確ではありません。研究者のアーカイブはiOS版Telegram 13.2とmacOS版Telegram 13.1を影響を受けたビルドに挙げ、公開された不具合は現行ビルドで修正済みだとしています ^[8]。NeurocratはiPhoneやMac向けにパッチを含むビルド番号を見つけられませんでした ^[2]。実践的なルールは簡単で、どの端末でも最新の公式版を使うことです。

このガイドは、脆弱性そのものと危険度をめぐる論争を解説したPouyamのガイドTelegram Widgets Flaw: Is Telegram Safe and How to Updateの、手順編にあたる続編です。

自分のTelegramのバージョンを確認する方法は？

Androidでは、Telegramの設定画面のいちばん下にバージョン番号が表示されます。ほかの端末では、アプリの設定かシステムのアプリ情報で確認できます ^[1]。下の表と照らし合わせ、表の番号より低ければ、ボットとのチャットを開く前に更新してください。

Windows版とLinux版のTelegram Desktopでは、「設定」から「詳細設定」を開きます。バージョンと更新の項目に、インストール済みのバージョンが表示され、新しいバージョンの確認もできます。iPhoneやiPadでは、「設定」→「一般」→「iPhoneストレージ」（または「iPadストレージ」）→Telegramでアプリのバージョンが表示されます。Macでは、アプリのメニューを開いて「Telegramについて」を選びます。

よく混乱を招く点が2つあります。1つ目に、Androidではビルド番号とバージョン番号は別物です。Gram Newsは修正版を13.2.2とし、括弧内にビルド番号7303を示しています ^[1]。研究者のアーカイブは古いAndroidビルドを72889、72929、73029、73039のような長いビルドコードで呼んでいます ^[8]。2つ目に、Mac向けのTelegramアプリは2種類あります。研究者が影響を受けたバージョンを13.1としているMac App StoreのmacOS版Telegramと、Windows版と同じアプリで7.4.xの番号体系をとるTelegram Desktopです ^[3][8]。

スマートフォンがアプリを自動更新する設定でも、バージョンは確認する価値があります。空き容量不足、省電力モード、従量制の接続、ストアのアカウントからのログアウトなどで、自動更新が何日も遅れることがあるからです。

AndroidでTelegramを更新する方法は？

Google Playから、またはTelegramの公式サイトからインストールした場合はそのサイトから更新し、更新後に13.2.2以上と表示されることを確認してください ^[1]。Telegramは2026年11月11日、Android向けの修正は「すべてのユーザーに配信された」と述べており、ストアにはすでに更新が出ているはずです ^[10]。

1. Google Playを開き、プロフィール写真をタップして「アプリとデバイスの管理」を選び、利用可能なアップデートの中からTelegramを探して「更新」をタップします。
2. telegram.orgのAPKでインストールした場合は、同じ公式サイトから最新のAPKをダウンロードし、古いものに上書きでインストールします。チャットはそのまま残ります。
3. Telegramを開いて「設定」に進み、いちばん下までスクロールしてバージョン番号を確認します ^[1]。
4. 新しいウィジェットエンジンが使われるよう、アプリを一度再起動します。

Gram Newsは、11月10日の後になって公開されたwidget-sandbox 0.6.4の5件のエンジン修正は、13.2.2そのものには組み込まれていないようだと指摘しています ^[1][5]。最低バージョンで止まらず更新を続けるべき理由はここにあり、新しいビルドほど、Telegramの公開変更履歴に載っているエンジン修正を多く含む可能性があります ^[5]。

APK配布サイト、改造クライアント、非公式の「plus」や「gold」版は避けてください。これらはTelegramの現行コードからTelegramの予定どおりにビルドされていないため、公式アプリに届いた修正が遅れて届くか、まったく届かないおそれがあります。PouyamのガイドTelegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risksでは、非公式版がそれ自体セキュリティ上のリスクである理由を解説しています。

WindowsとLinuxでTelegram Desktopを更新する方法は？

「設定」から「詳細設定」を開いてバージョンと更新の項目で更新を確認するか、telegram.orgから最新ビルドをダウンロードします。必要なのは7.4.3以降で、2026年11月15日時点の最新版は7.4.4です ^[2][3]。デスクトップアプリは、7.4.0が研究者によって影響を受けたクライアントに挙げられていました ^[8]。

1. Telegram Desktopでメニューを開き、「設定」、「詳細設定」の順に進みます。
2. 自動更新がオフならオンにし、更新を確認する項目を選びます。ダウンロードが終わったら、案内に従ってTelegramを再起動します。
3. 同じ項目でもう一度バージョン番号を確認します。7.4.3以上になっているはずです ^[3]。
4. Microsoft Store、Linuxのパッケージマネージャー、Flatpak、SnapでTelegramを入れた場合は、同じ経路で更新してください。これらのビルドはGitHubでの公開より少し遅れることがあります ^[3]。

Windowsの利用者は、今週はもう一手間かけるべきです。11月13日、V12の研究者たちは、彼らが「パッチ適用済みのWindowsクライアント」と呼ぶものに別のコード実行経路があると主張しましたが、これは1件の投稿での主張にとどまり、確認した情報源の中に独立した裏付けは見つかりませんでした ^[11]。Telegram Desktop 7.4.4は11月13日のうちに遅れて公開され、詳しいリリースノートはありませんでした ^[3]。この問題が決着するまでは、最新ビルドを使い続けることが一般の利用者にできる唯一の防御です。

自分で更新できない会社のパソコンでTelegramを使っている場合は、IT部門に7.4.4以降の導入を依頼し、それまではそのパソコンでボットとのチャットを開かないでください。

iPhone、iPad、MacでTelegramを更新する方法は？

App StoreまたはMac App Storeから最新のTelegramをインストールしてください。研究者によると、iOS版Telegram 13.2とmacOS版Telegram 13.1で見つかった不具合は現行ビルドで修正されていますが、修正済みの正確なビルド番号は公表されていません ^[2][8]。Telegramも独立した報道もApple製品向けの安全な最低バージョンを示しておらず、CryptoSlateは研究者のアーカイブがすべてのクライアントについてそれを定めてはいないと指摘しています ^[2][4]。

1. iPhoneとiPad：App Storeを開き、上部のアカウント写真をタップしてアップデートの一覧までスクロールし、Telegramの横の「アップデート」をタップします。今後の手間を省くには、App Storeの設定でアプリの自動アップデートをオンにします。
2. MacのmacOS版Telegram：Mac App Storeを開いて「アップデート」を選び、Telegramを更新します。
3. MacのTelegram Desktop：Windows版と同じアプリです。「設定」→「詳細設定」から更新し、7.4.3以上と表示されることを確認します ^[3]。
4. 更新したら、アプリを完全に終了してから開き直します。

App StoreでTelegramが最新と表示されれば、すでに最新の公開ビルドです。一般の利用者がこれ以上インストールできるものはなく、残る防御は使い方です。知らないボットは起動しないでください ^[6]。

記者や活動家など、より強い保護が必要な人は、iPhoneのiOSも最新に保つべきです。OSの更新は、どのメッセージアプリの不具合であっても、それが及ぶ範囲を狭めます。

Android版Telegram 13.2.2では何が変わった？

エンジンの修正に加え、Android版Telegram 13.2.2はウィジェットのコードをすべて別の厳しく制限されたプロセスへ移しました。今後同じ種類の不具合が見つかっても、アカウントやチャット、鍵にアクセスできない場所で止まることになります ^[1]。Gram Newsによると、このリリースのコミットは96ファイル、約6,800行に及び、その大半がこの新しい境界のためのものです ^[1]。

Gram Newsがまとめたクライアントのコード内の文書によると、:widgetsという新しいプロセスがウィジェットのJavaScript、検証器、レンダラーを実行します ^[1]。このプロセスにはAndroidの権限もネットワークもなく、アプリのファイルにもアクセスできません ^[1]。Telegramのメインプロセスはエンジンのライブラリを一切読み込まなくなり、ウィジェットのプロセスから戻ってくるものはすべて信頼できないものとして再確認されます。たとえば、実際のタップ1回につき許されるリンクは1つです ^[1]。

その上にseccompというシステムコールのフィルターがあります。現時点では主にログ記録モードで動いており、禁止された呼び出しをブロックせず記録するだけですが、プログラムの起動と新しいプロセスの作成はすでに拒否されます ^[1]。ボットごとにプロセスを分けるのではなく、1つのプロセスがすべてのウィジェットを担当します。Gram Newsによると、ボットごとに別プロセスを持たせる案は、1つにつき約25 MBのメモリを使うため見送られました ^[1]。

これは、バージョン番号がどれだけ守ってくれるかに関わります。変更前、研究者のジョエル・エリクソン（Joel Eriksson）氏は、エンジンがTelegramのプロセス内部で動いているため、エンジンを悪用されるとアプリ自身の権限を奪われると指摘していました ^[7]。研究者のアーカイブは、古いAndroidビルドの一部ではアプリレベルのコード実行が起きた一方、72979や72989など後のビルドでは結果が隔離されたウィジェットプロセス内にとどまったと報告しています ^[4]。つまり新しいビルドは、公開された不具合を取り除くと同時に、新たな不具合が起こしうる被害も小さくします。

修正後もボットはウィジェットを送れる？

現時点では送れません。2026年11月13日、TelegramのBot APIリポジトリの貢献者が、一般のボットは個人チャットでもウィジェットを使えないと認めました ^[4]。CryptoSlateによると、それまでウィジェットを送っていた開発者に、INPUT_MEDIA_WIDGET_NOT_ALLOWEDというエラーが返るようになりました ^[4]。

Telegram創業者のパーヴェル・ドゥーロフ（Pavel Durov）氏は11月13日、「No one could be hacked just by receiving a message」（メッセージを受け取っただけでハッキングされることはなかった）と述べ、利用者は「had to actively start a third-party service first」、さらに「Even that is fully patched server-side」と書きました ^[6]。サーバー側の制限と同氏の発言は同じ方向を指しています。ドゥーロフ氏によれば、この経路には利用者が先に起動したサードパーティのサービスが必要でした ^[4][6]。

だからといって、アプリの更新が不要になるわけではありません。CryptoSlateは、この制限がすでに届いたウィジェットの表示、制限の理由、解除の時期を明らかにしていないと指摘しています ^[4]。ボットにウィジェットが再び開放されたとき、修正済みのエンジンを持つのは更新済みのアプリだけです。また、ウィジェットのコードは内容を表示するだけではありません。Telegramが公開している設計では、ウィジェットが利用者のTONウォレットカードを照会したり、ウォレットで署名したデータを求めたりできます。これもクライアントを最新に保つべき理由です ^[4]。

共通のウィジェットコードも変わり続けています。Telegramのwidget-sandboxプロジェクトは、11月10日にメモリ安全性の修正5件を含む0.6.4を、11月12日にウィジェットの要素の入れ子の深さを1,024階層までに制限する0.6.5を公開しました ^[5]。各クライアントがこれらの変更を取り込むのは、新しいアプリのリリース時だけです ^[5]。

すぐにTelegramを更新できない場合は？

修正版をまだ入れられない場合は、知らないボットとのチャットを開かず、更新するまで新しいボットを起動しないでください ^[1][6]。ウィジェットのコードは吹き出しが画面に表示された時点で動くため、Gram Newsは、アプリを更新するまで見知らぬボットがウィジェットを送ってくるチャットを避けるよう勧めています ^[1]。

• まず空き容量を確認します。端末の容量不足は、更新が知らないうちに失敗するいちばん多い原因です。空きを作ってからもう一度試してください。
• お使いの端末や国でGoogle Playが使えない場合は、ミラーサイトではなくtelegram.orgの公式APKを使います。
• 更新できない共用パソコンや会社のパソコンでは、代わりに更新済みのスマートフォンでTelegramを使い、古いデスクトップのセッションからログアウトします。
• 「設定」→「デバイス」を開き、心当たりのないセッションをすべて終了します。エンジンは直りませんが、別の経路でアカウントがすでに漏れていた場合の被害を抑えられます。
• 強いパスワードで2段階認証をオンにし、盗まれたログインコードだけではアカウントを乗っ取れないようにします。

2026年11月15日時点で、CryptoSlateは研究者の実演が資産の盗難や広範な悪意ある悪用を裏付けるものではないとしており、研究者も、自分たちが公開した不具合は古いビルドに影響したもので、現行ビルドではすでに修正されていると述べています ^[4][8]。安心材料ではありますが保証ではありません。Telegramは修正前にこの脆弱性が悪用されたかどうかを明らかにしていないからです ^[7]。

アカウントを乗っ取られたと思う場合は、PouyamのガイドWhatsApp or Telegram Account Hacked? How to Recover It and Lock It Downの手順に従ってください。アカウントを守る途中でクラウドパスワードを忘れた場合は、Forgot Your Telegram Two-Step Password? Recovery With or Without Emailをご覧ください。