텔레그램 업데이트: 위젯 보안 패치 설치 방법

위젯 취약점은 어느 텔레그램 버전에서 수정됐나요?

위젯 패치는 안드로이드용 Telegram 13.2.2 이상과 Telegram Desktop 7.4.3 이상에 들어 있습니다. iPhone, iPad, Mac에서는 정확한 수정 빌드가 공개되지 않았으므로 App Store나 Mac App Store에서 최신 버전을 설치하십시오 ^[1][2]. 이 번호들은 텔레그램의 보안 권고문이 아니라 독립 매체가 분석한 텔레그램 오픈소스 코드와 릴리스 목록에서 나온 것이며, 권고문은 발표되지 않았습니다 ^[2][7].

이 결함은 QuickJS에 있었습니다. QuickJS는 텔레그램이 2026년 11월 9일 Bot API 10.4로 봇에 추가한 대화형 위젯을 실행하는 작은 JavaScript 엔진입니다 ^[9]. 11월 11일 보안 업체 V12는 위젯 메시지가 Android 휴대폰에서 계산기를 실행하는 영상을 공개했는데, 이는 외부 코드가 기기에서 실행되고 있다는 흔한 신호입니다 ^[1]. Gram News는 이 보고를 11월 10일자 QuickJS 수정과 연결했습니다. 이 수정은 파벨 두로프(Pavel Durov)가 위젯을 모든 봇에 개방한다고 발표하기 21분 전의 것이며, 수정 사항은 Android용 Telegram 13.2.2(빌드 7303)로 배포됐다고 Gram News는 전합니다 ^[1].

Telegram Desktop은 두 번 만에 고쳐졌습니다. 빌드를 비교한 Neurocrat에 따르면 11월 11일의 7.4.2에는 다른 메모리 수정 5건이 들어 있었지만 핵심 패치는 없었고, 핵심 패치는 7.4.3에서야 들어갔습니다 ^[2]. 공개 릴리스 목록에는 7.4.3이 11월 12일, 7.4.4가 11월 13일로 나와 있으며, 두 버전 모두 설명은 "Bug fixes and other minor improvements"뿐입니다 ^[3].

Apple 기기는 상황이 덜 명확합니다. 연구자들의 자료 저장소는 iOS용 Telegram 13.2와 macOS용 Telegram 13.1을 영향을 받은 빌드로 꼽고, 공개된 버그는 현재 빌드에서 수정되었다고 밝힙니다 ^[8]. Neurocrat는 iPhone이나 Mac용으로 패치가 들어간 빌드 번호를 찾지 못했습니다 ^[2]. 실용적인 원칙은 간단합니다. 어떤 기기를 쓰든 최신 공식 버전을 사용하면 됩니다.

이 가이드는 취약점 자체와 그 위험성을 둘러싼 논쟁을 설명한 Pouyam 가이드 Telegram Widgets Flaw: Is Telegram Safe and How to Update의 단계별 후속편입니다.

내 텔레그램 버전은 어떻게 확인하나요?

안드로이드에서는 텔레그램 설정 화면 맨 아래에 버전 번호가 표시되며, 다른 기기에서는 앱 설정이나 시스템의 앱 정보에서 확인할 수 있습니다 ^[1]. 아래 표와 비교해 보고, 번호가 표에 나온 것보다 낮다면 봇과의 대화를 열기 전에 업데이트하십시오.

Windows와 Linux용 Telegram Desktop에서는 설정을 연 다음 고급을 엽니다. 버전 및 업데이트 항목에 설치된 버전이 표시되고 새 버전을 확인할 수 있습니다. iPhone이나 iPad에서는 시스템이 설정, 일반, iPhone 저장 공간(또는 iPad 저장 공간), Telegram 순서로 들어가면 앱 버전을 보여 줍니다. Mac에서는 앱 메뉴를 열고 "Telegram에 관하여"를 선택합니다.

자주 헷갈리는 점이 두 가지 있습니다. 첫째, 안드로이드에서 빌드 번호와 버전 번호는 서로 다릅니다. Gram News는 수정 버전을 13.2.2로, 빌드 번호를 괄호 안에 7303으로 표기합니다 ^[1]. 연구자들의 자료 저장소는 예전 안드로이드 빌드를 72889, 72929, 73029, 73039 같은 더 긴 빌드 코드로 부릅니다 ^[8]. 둘째, Mac용 텔레그램 앱은 두 가지입니다. 연구자들이 영향을 받은 버전을 13.1로 꼽은 Mac App Store의 macOS용 Telegram, 그리고 Windows용과 같은 앱으로 7.4.x 번호 체계를 따르는 Telegram Desktop입니다 ^[3][8].

휴대폰이 앱을 자동으로 업데이트하더라도 버전을 확인해 볼 가치가 있습니다. 저장 공간 부족, 절전 모드, 데이터 요금제 연결, 스토어 계정 로그아웃 때문에 자동 업데이트가 며칠씩 늦어질 수 있기 때문입니다.

안드로이드에서 텔레그램을 업데이트하려면?

Google Play에서, 또는 텔레그램 공식 웹사이트에서 설치했다면 그 사이트에서 텔레그램을 업데이트하고, 이후 13.2.2 이상이 표시되는지 확인하십시오 ^[1]. 텔레그램은 2026년 11월 11일 안드로이드 수정이 "모든 사용자에게 배포되었다"고 밝혔으므로, 스토어에 이미 업데이트가 올라와 있어야 합니다 ^[10].

1. Google Play를 열고 프로필 사진을 누른 뒤 "앱 및 기기 관리"를 선택하고, 사용 가능한 업데이트에서 Telegram을 찾아 "업데이트"를 누릅니다.
2. telegram.org의 APK로 텔레그램을 설치했다면 같은 공식 사이트에서 최신 APK를 내려받아 기존 앱 위에 설치하십시오. 대화 내용은 그대로 남습니다.
3. 텔레그램을 열고 설정으로 이동한 뒤 맨 아래까지 스크롤해 버전 번호를 확인합니다 ^[1].
4. 새 위젯 엔진이 적용되도록 앱을 한 번 다시 시작합니다.

Gram News는 11월 10일 늦게 공개된 widget-sandbox 0.6.4의 추가 엔진 수정 5건이 13.2.2 자체에는 포함되지 않은 것으로 보인다고 지적합니다 ^[1][5]. 최소 버전에서 멈추지 말고 계속 업데이트해야 하는 이유가 여기에 있습니다. 새로운 빌드일수록 텔레그램의 공개 변경 기록에 실린 엔진 수정을 더 많이 담고 있을 수 있습니다 ^[5].

APK 다운로드 사이트, 수정된 클라이언트, 비공식 "plus" 또는 "gold" 버전은 피하십시오. 이런 앱은 텔레그램의 최신 코드로 텔레그램의 일정에 맞춰 빌드되지 않으므로, 공식 앱에 들어간 수정이 늦게 오거나 아예 오지 않을 수 있습니다. Pouyam 가이드 Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks에서는 비공식 버전이 그 자체로 보안 위험인 이유를 설명합니다.

Windows와 Linux에서 Telegram Desktop을 업데이트하려면?

설정에서 고급을 열어 버전 및 업데이트 항목에서 업데이트를 확인하거나 telegram.org에서 최신 빌드를 내려받으십시오. 7.4.3 이상이 필요하며, 2026년 11월 15일 기준 최신 버전은 7.4.4입니다 ^[2][3]. 데스크톱 앱은 7.4.0 버전이 연구자들이 꼽은 영향받는 클라이언트에 포함되어 있었습니다 ^[8].

1. Telegram Desktop에서 메뉴를 열고 설정, 고급 순서로 들어갑니다.
2. 자동 업데이트가 꺼져 있으면 켜고, 업데이트 확인 옵션을 선택합니다. 다운로드가 끝나면 안내에 따라 텔레그램을 다시 시작합니다.
3. 같은 항목에서 버전 번호를 다시 확인합니다. 7.4.3 이상이어야 합니다 ^[3].
4. Microsoft Store, Linux 패키지 관리자, Flatpak 또는 Snap으로 텔레그램을 설치했다면 같은 경로로 업데이트하십시오. 이런 빌드는 GitHub 공개보다 조금 늦게 나올 수 있습니다 ^[3].

Windows 사용자는 이번 주에 한 가지를 더 챙겨야 합니다. 11월 13일 V12 연구자들은 자신들이 "패치된 Windows 클라이언트"라고 부른 버전에서 또 다른 코드 실행 경로를 찾았다고 주장했지만, 이는 게시물 하나에서 나온 주장이며 확인한 출처에서는 독립적인 확인을 찾지 못했습니다 ^[11]. Telegram Desktop 7.4.4는 11월 13일 늦게 자세한 설명 없이 나왔습니다 ^[3]. 이 문제가 해결되기 전까지는 최신 빌드를 유지하는 것이 일반 사용자가 할 수 있는 유일한 방어입니다.

직접 업데이트할 수 없는 회사 컴퓨터에서 텔레그램을 쓴다면 IT 부서에 7.4.4 이상을 설치해 달라고 요청하고, 그때까지는 그 컴퓨터에서 봇과의 대화를 열지 마십시오.

iPhone, iPad, Mac에서 텔레그램을 업데이트하려면?

App Store나 Mac App Store에서 최신 텔레그램을 설치하십시오. 연구자들에 따르면 iOS용 Telegram 13.2와 macOS용 Telegram 13.1에서 찾은 버그는 현재 빌드에서 수정되었지만, 정확한 수정 빌드 번호는 공개되지 않았습니다 ^[2][8]. 텔레그램도 독립 보도도 Apple 기기의 안전한 최소 버전을 밝히지 않았으며, CryptoSlate는 연구자들의 자료 저장소가 모든 클라이언트에 대해 그런 버전을 정하지는 않는다고 지적합니다 ^[2][4].

1. iPhone과 iPad: App Store를 열고 위쪽의 계정 사진을 누른 뒤 업데이트 목록까지 스크롤해 Telegram 옆의 "업데이트"를 누릅니다. 앞으로 반복하지 않으려면 App Store 설정에서 앱 자동 업데이트를 켜십시오.
2. Mac의 macOS용 Telegram: Mac App Store를 열고 "업데이트"를 선택해 Telegram을 업데이트합니다.
3. Mac의 Telegram Desktop: Windows용과 같은 앱입니다. 설정, 고급에서 업데이트하고 7.4.3 이상이 표시되는지 확인하십시오 ^[3].
4. 업데이트 후에는 앱을 완전히 종료했다가 다시 엽니다.

App Store에 텔레그램이 최신이라고 나오면 이미 최신 공개 빌드를 쓰고 있는 것입니다. 일반 사용자가 더 설치할 것은 없으며, 남은 방어는 사용 습관입니다. 모르는 봇은 시작하지 마십시오 ^[6].

기자나 활동가처럼 더 강한 보호가 필요한 사람은 iPhone의 iOS도 최신으로 유지해야 합니다. 운영체제 업데이트는 어떤 메신저 앱의 버그든 그 버그가 미칠 수 있는 범위를 줄여 줍니다.

안드로이드용 Telegram 13.2.2에서는 무엇이 달라졌나요?

안드로이드용 Telegram 13.2.2는 엔진 수정과 함께 위젯 코드를 모두 별도의 잠긴 프로세스로 옮겼습니다. 앞으로 같은 종류의 버그가 생겨도 계정, 대화, 키에 접근할 수 없는 곳에서 멈추게 됩니다 ^[1]. Gram News에 따르면 이번 릴리스 커밋은 파일 96개, 약 6,800줄을 고쳤고, 그 대부분이 이 새로운 경계를 위한 것입니다 ^[1].

Gram News가 요약한 클라이언트 코드 안의 문서에 따르면, :widgets라는 새 프로세스가 위젯의 JavaScript와 검증기, 렌더러를 실행합니다 ^[1]. 이 프로세스에는 안드로이드 권한도, 네트워크도, 앱 파일에 대한 접근 권한도 없습니다 ^[1]. 텔레그램의 메인 프로세스는 이제 엔진 라이브러리를 전혀 불러오지 않으며, 위젯 프로세스가 돌려보내는 모든 것은 신뢰할 수 없는 것으로 간주되어 다시 검사됩니다. 예를 들어 실제 탭 한 번에 링크는 하나만 허용됩니다 ^[1].

그 위에는 seccomp라는 시스템 호출 필터가 있습니다. 현재는 대부분 기록 모드로 동작해 금지된 호출을 차단하지 않고 기록만 하지만, 프로그램 실행과 새 프로세스 생성은 이미 거부됩니다 ^[1]. 봇마다 프로세스를 두는 대신 하나의 프로세스가 모든 위젯을 처리합니다. Gram News에 따르면 봇별로 별도 프로세스를 두는 방안은 각각 약 25 MB의 메모리를 쓰게 되어 폐기됐습니다 ^[1].

이는 버전 번호가 얼마나 보호해 주는지와 관련됩니다. 변경 전 연구자 조엘 에릭손(Joel Eriksson)은 엔진이 텔레그램 프로세스 내부에서 실행되므로 엔진을 악용하면 앱 자체의 권한을 얻게 된다고 지적했습니다 ^[7]. 연구자들의 자료 저장소는 일부 예전 안드로이드 빌드에서는 앱 수준의 코드 실행이 일어났지만, 72979와 72989 같은 이후 빌드에서는 결과가 격리된 위젯 프로세스 안에 머물렀다고 보고합니다 ^[4]. 요컨대 새 빌드는 공개된 버그를 없애는 동시에 새로운 버그가 일으킬 수 있는 피해도 줄입니다.

수정 이후에도 봇이 위젯을 보낼 수 있나요?

현재는 아닙니다. 2026년 11월 13일 텔레그램 Bot API 저장소의 한 기여자가 일반 봇은 개인 대화에서도 위젯을 사용할 수 없다고 확인했습니다 ^[4]. CryptoSlate에 따르면 위젯을 보내던 개발자들이 INPUT_MEDIA_WIDGET_NOT_ALLOWED 오류를 받기 시작했습니다 ^[4].

텔레그램 창업자 파벨 두로프(Pavel Durov)는 11월 13일 "No one could be hacked just by receiving a message"(메시지를 받는 것만으로 해킹당할 수는 없었다)라고 말했으며, 사용자가 "had to actively start a third-party service first"였고 "Even that is fully patched server-side"라고 밝혔습니다 ^[6]. 서버 측 제한과 그의 발언은 같은 방향을 가리킵니다. 두로프에 따르면 이 경로에는 사용자가 먼저 시작한 서드파티 서비스가 필요했습니다 ^[4][6].

그렇다고 앱 업데이트가 선택 사항이 되는 것은 아닙니다. CryptoSlate는 이 제한이 이미 전달된 위젯이 어떻게 표시되는지, 왜 접근을 좁혔는지, 언제 다시 열릴지를 밝히지 않는다고 지적합니다 ^[4]. 위젯이 봇에게 다시 열리면 수정된 엔진을 가진 것은 업데이트된 앱뿐입니다. 또 위젯 코드는 내용을 보여 주는 데 그치지 않습니다. 텔레그램이 공개한 설계에 따르면 위젯은 사용자의 TON 지갑 카드를 조회하거나 지갑으로 서명한 데이터를 요청할 수 있으니, 이 또한 클라이언트를 최신으로 유지해야 할 이유입니다 ^[4].

공용 위젯 코드도 계속 바뀌고 있습니다. 텔레그램의 widget-sandbox 프로젝트는 11월 10일 메모리 안전성 수정 5건을 담은 0.6.4를, 11월 12일에는 위젯 요소의 중첩 깊이를 1,024단계로 제한하는 0.6.5를 공개했습니다 ^[5]. 각 클라이언트는 새 앱 버전이 나올 때만 이런 변경을 반영합니다 ^[5].

텔레그램을 바로 업데이트할 수 없다면?

수정 버전을 아직 설치할 수 없다면 모르는 봇과의 대화를 열지 말고, 업데이트할 때까지 새 봇을 시작하지 마십시오 ^[1][6]. 위젯 코드는 말풍선이 화면에 나타나는 순간 실행되므로, Gram News는 앱을 업데이트할 때까지 낯선 봇이 위젯을 보내는 대화를 피하라고 권합니다 ^[1].

• 먼저 저장 공간을 확인하십시오. 휴대폰 저장 공간 부족은 업데이트가 조용히 실패하는 가장 흔한 원인입니다. 공간을 확보한 뒤 다시 시도하십시오.
• 휴대폰이나 거주 국가에서 Google Play를 쓸 수 없다면 미러 사이트가 아닌 telegram.org의 공식 APK를 사용하십시오.
• 업데이트할 수 없는 공용 컴퓨터나 회사 컴퓨터에서는 대신 업데이트된 휴대폰에서 텔레그램을 쓰고, 오래된 데스크톱 세션에서 로그아웃하십시오.
• 설정에서 기기를 열고 모르는 세션은 모두 종료하십시오. 엔진을 고치지는 못하지만, 다른 경로로 계정이 이미 노출됐을 경우 피해를 줄여 줍니다.
• 강력한 비밀번호로 2단계 인증을 켜서, 도난당한 로그인 코드만으로는 계정을 빼앗을 수 없게 하십시오.

2026년 11월 15일 기준 CryptoSlate는 연구자들의 시연이 자산 탈취나 광범위한 악의적 악용을 입증하지는 않는다고 하며, 연구자들은 자신들이 공개한 버그가 이미 현재 빌드에서 수정된 예전 빌드에 영향을 준 것이라고 말합니다 ^[4][8]. 안심할 만한 소식이지만 보장은 아닙니다. 텔레그램은 수정 전에 이 취약점이 악용됐는지 밝히지 않았기 때문입니다 ^[7].

계정을 탈취당했다고 생각되면 Pouyam 가이드 WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down의 절차를 따르십시오. 계정을 보호하다가 클라우드 비밀번호를 잊었다면 Forgot Your Telegram Two-Step Password? Recovery With or Without Email을 참고하십시오.