Atualizar Telegram: como instalar a correção dos widgets

Qual versão do Telegram corrige a falha dos widgets?

A correção dos widgets está no Telegram para Android 13.2.2 ou mais recente e no Telegram Desktop 7.4.3 ou mais recente; no iPhone, iPad e Mac, instale a versão mais recente da App Store ou da Mac App Store, porque nenhum build corrigido exato foi divulgado ^[1][2]. Esses números vêm do código aberto e das listas de versões do Telegram, analisados por veículos independentes, e não de um aviso do Telegram: ele não existe ^[2][7].

A falha estava no QuickJS, o pequeno motor de JavaScript que executa os widgets interativos que o Telegram adicionou para bots na Bot API 10.4 em 9 de novembro de 2026 ^[9]. Em 11 de novembro, a empresa de segurança V12 publicou um vídeo em que uma mensagem com widget abria a calculadora em um telefone Android, o sinal habitual de que código externo está rodando no aparelho ^[1]. A Gram News associou esse relato a uma correção do QuickJS datada de 10 de novembro, 21 minutos antes do anúncio de Pavel Durov que abriu os widgets a todos os bots, e diz que a correção foi entregue no Telegram para Android 13.2.2 (build 7303) ^[1].

O Telegram Desktop precisou de duas tentativas. O Neurocrat, que comparou os builds, relata que a versão 7.4.2, de 11 de novembro, trazia outras cinco correções de memória, mas não o patch principal, que só chegou na 7.4.3 ^[2]. A lista pública de versões mostra a 7.4.3 em 12 de novembro e a 7.4.4 em 13 de novembro, ambas descritas apenas como "Bug fixes and other minor improvements" ^[3].

Para aparelhos Apple, o quadro é menos preciso. O arquivo dos pesquisadores cita o Telegram para iOS 13.2 e o Telegram para macOS 13.1 entre os builds afetados e afirma que as falhas publicadas estão corrigidas nos builds atuais ^[8]. O Neurocrat não encontrou números de build com os patches para iPhone ou Mac ^[2]. A regra prática é simples: seja qual for o seu aparelho, a versão oficial mais recente é a que você deve ter.

Este guia é a continuação passo a passo do guia da Pouyam Telegram Widgets Flaw: Is Telegram Safe and How to Update, que explica a falha em si e a disputa sobre o quanto ela era perigosa.

Como saber qual versão do Telegram eu tenho?

No Android, o número da versão aparece no fim da tela de Configurações do Telegram; em outros aparelhos, ele fica nas configurações do app ou nas informações do app do sistema ^[1]. Compare com a tabela abaixo. Se o seu número for menor que o indicado, atualize antes de abrir qualquer chat com um bot.

No Telegram Desktop para Windows e Linux, abra Configurações e depois Avançado: a seção de versão e atualizações mostra a versão instalada e permite procurar uma nova. No iPhone ou iPad, o sistema mostra a versão de um app em Ajustes, Geral, Armazenamento do iPhone (ou do iPad) e depois Telegram. No Mac, abra o menu do aplicativo e escolha "Sobre o Telegram".

Dois detalhes costumam confundir. Primeiro, no Android, número de build e número de versão são coisas diferentes: o Gram News informa a versão corrigida 13.2.2 com o número de build 7303 entre parênteses ^[1]. O arquivo dos pesquisadores se refere a builds antigos do Android por códigos mais longos, como 72889, 72929, 73029 e 73039 ^[8]. Segundo, existem dois apps do Telegram para Mac: o Telegram para macOS, da Mac App Store, que os pesquisadores citam na versão 13.1 como afetada, e o Telegram Desktop, o mesmo app do Windows, que segue a numeração 7.4.x ^[3][8].

Vale conferir a versão mesmo que o seu celular atualize os apps automaticamente. As atualizações automáticas podem atrasar dias por falta de espaço, modo de economia de bateria, conexão limitada ou conta da loja desconectada.

Como atualizar o Telegram no Android?

Atualize o Telegram pela Google Play, ou pelo site do próprio Telegram se foi de lá que você instalou, e confira se a versão exibida depois é 13.2.2 ou superior ^[1]. O Telegram afirmou em 11 de novembro de 2026 que a correção para Android "foi distribuída a todos os usuários", então a atualização já deve aparecer na loja ^[10].

1. Abra a Google Play, toque na sua foto de perfil, depois em "Gerenciar apps e dispositivo", e procure o Telegram entre as atualizações disponíveis. Toque em "Atualizar".
2. Se você instalou o Telegram pelo APK do telegram.org, baixe o APK mais recente no mesmo site oficial e instale por cima do antigo; suas conversas continuam lá.
3. Abra o Telegram, vá em Configurações e role até o fim para ver o número da versão ^[1].
4. Reinicie o app uma vez, para que o novo motor de widgets passe a ser usado.

O Gram News observa que as outras cinco correções do motor publicadas mais tarde em 10 de novembro, no widget-sandbox 0.6.4, não parecem estar incluídas na própria 13.2.2 ^[1][5]. É um motivo para continuar atualizando além do mínimo: cada build mais novo pode trazer mais das correções listadas no registro público de alterações do Telegram ^[5].

Evite sites de download de APK, clientes modificados e versões não oficiais "plus" ou "gold". Eles não são compilados a partir do código atual do Telegram no ritmo do Telegram; uma correção que chega ao app oficial pode chegar tarde ou nunca a eles. O guia da Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks explica por que versões não oficiais já são, por si só, um risco de segurança.

Como atualizar o Telegram Desktop no Windows e no Linux?

Abra Configurações e depois Avançado e procure uma atualização na seção de versão e atualizações, ou baixe o build mais recente no telegram.org; você precisa da 7.4.3 ou mais recente, e a 7.4.4 é a mais nova em 15 de novembro de 2026 ^[2][3]. O app de desktop estava, na versão 7.4.0, entre os clientes que os pesquisadores apontaram como afetados ^[8].

1. No Telegram Desktop, abra o menu, depois Configurações e então Avançado.
2. Ative as atualizações automáticas se a opção estiver desligada e escolha a opção de procurar atualizações. Quando o download terminar, reinicie o Telegram quando ele pedir.
3. Confira de novo o número da versão na mesma seção. Ele deve mostrar 7.4.3 ou superior ^[3].
4. Se você instalou o Telegram pela Microsoft Store, por um gerenciador de pacotes do Linux, Flatpak ou Snap, atualize pelo mesmo canal; esses builds podem chegar um pouco depois da publicação no GitHub ^[3].

Quem usa Windows deve tomar um cuidado extra nesta semana. Em 13 de novembro, os pesquisadores da V12 alegaram outra rota de execução de código no que chamaram de cliente Windows corrigido, alegação feita em uma única publicação e sem confirmação independente nas fontes verificadas ^[11]. O Telegram Desktop 7.4.4 saiu mais tarde, em 13 de novembro, sem notas detalhadas ^[3]. Enquanto essa questão estiver em aberto, ficar no build mais recente é a única proteção que um usuário comum tem.

Se você usa o Telegram em um computador do trabalho que não pode atualizar por conta própria, peça ao setor de TI para instalar a 7.4.4 ou mais recente e, até lá, não abra chats com bots nessa máquina.

Como atualizar o Telegram no iPhone, iPad e Mac?

Instale o Telegram mais recente pela App Store ou pela Mac App Store; segundo os pesquisadores, as falhas que eles encontraram no Telegram para iOS 13.2 e no Telegram para macOS 13.1 estão corrigidas nos builds atuais, mas nenhum número exato de build corrigido é público ^[2][8]. Nem o Telegram nem as reportagens independentes indicaram uma versão mínima segura para aparelhos Apple, e a CryptoSlate observa que o arquivo dos pesquisadores não define uma para cada cliente ^[2][4].

1. iPhone e iPad: abra a App Store, toque na foto da sua conta no alto, role até a lista de atualizações e toque em "Atualizar" ao lado do Telegram. Para não precisar repetir isso, ative as atualizações automáticas de apps nos ajustes da App Store.
2. Mac, Telegram para macOS: abra a Mac App Store, escolha "Atualizações" e atualize o Telegram.
3. Mac, Telegram Desktop: é o mesmo app do Windows; atualize em Configurações, Avançado, e confira se aparece 7.4.3 ou superior ^[3].
4. Depois de atualizar, feche o app por completo e abra de novo.

Se a App Store disser que o Telegram está atualizado, você já tem o build público mais recente. Um usuário comum não tem mais nada a instalar; a proteção que resta é o comportamento: não inicie bots que você não conhece ^[6].

Quem precisa de proteção maior, como jornalistas e ativistas, também deve manter o iOS do iPhone atualizado. Uma atualização do sistema limita o que qualquer falha de app pode alcançar, seja qual for o aplicativo de mensagens.

O que mudou no Telegram para Android 13.2.2?

Além da correção do motor, o Telegram para Android 13.2.2 move todo o código dos widgets para um processo separado e isolado, de modo que uma futura falha do mesmo tipo cairia num lugar sem acesso à sua conta, às suas conversas ou às suas chaves ^[1]. Segundo o Gram News, o commit da versão altera 96 arquivos e cerca de 6.800 linhas, a maior parte para essa nova barreira ^[1].

De acordo com a documentação do código do cliente, resumida pelo Gram News, o novo processo chamado :widgets executa o JavaScript do widget, seu validador e seu renderizador ^[1]. Ele não tem permissões do Android, não tem rede e não tem acesso aos arquivos do app ^[1]. O processo principal do Telegram deixou de carregar a biblioteca do motor, e tudo o que o processo de widgets devolve é tratado como não confiável e verificado de novo; por exemplo, é permitido um link por toque real ^[1].

Por cima há um filtro de chamadas de sistema chamado seccomp. Por enquanto ele funciona sobretudo em modo de registro, anotando as chamadas proibidas em vez de bloqueá-las, mas a execução de programas e a criação de novos processos já são recusadas ^[1]. Um único processo atende todos os widgets, em vez de um por bot; segundo a Gram News, um processo separado para cada bot foi descartado porque cada um usaria cerca de 25 MB de memória ^[1].

Isso importa para saber o quanto o número da versão protege você. Antes da mudança, o pesquisador Joel Eriksson observou que o motor rodava dentro do próprio processo do Telegram, de modo que um exploit do motor ganhava os privilégios do app ^[7]. O arquivo dos pesquisadores relata execução de código no nível do app em alguns builds antigos do Android, mas resultados contidos num processo de widgets isolado em builds posteriores, como 72979 e 72989 ^[4]. Em resumo, builds mais novos removem as falhas publicadas e também limitam o estrago que uma nova poderia causar.

Os bots ainda podem enviar widgets depois da correção?

Por enquanto, não: em 13 de novembro de 2026, um colaborador do repositório da Bot API do Telegram confirmou que bots gerais não podem usar widgets, nem em chats privados ^[4]. Desenvolvedores que vinham enviando widgets passaram a receber o erro INPUT_MEDIA_WIDGET_NOT_ALLOWED, segundo a CryptoSlate ^[4].

O fundador do Telegram, Pavel Durov, disse em 13 de novembro que "No one could be hacked just by receiving a message" (ninguém poderia ser hackeado só por receber uma mensagem), que o usuário "had to actively start a third-party service first" e que "Even that is fully patched server-side" ^[6]. A restrição no servidor e a declaração dele apontam na mesma direção: segundo Durov, a rota exigia um serviço de terceiros que o usuário tinha iniciado antes ^[4][6].

Isso não torna a atualização opcional. A CryptoSlate observa que a restrição não diz como são exibidos os widgets já entregues, por que o acesso foi limitado nem quando pode voltar ^[4]. Quando os widgets forem liberados de novo para bots, só um app atualizado terá o motor corrigido. O código de um widget também pode fazer mais do que mostrar conteúdo: o design documentado do Telegram permite que widgets consultem o cartão da carteira TON do usuário ou peçam dados assinados pela carteira, mais um motivo para manter o cliente em dia ^[4].

O código comum dos widgets também continua mudando. O projeto widget-sandbox do Telegram publicou a versão 0.6.4 em 10 de novembro, com cinco correções de segurança de memória, e a versão 0.6.5 em 12 de novembro, que limita a 1.024 níveis a profundidade de aninhamento dos elementos de um widget ^[5]. Cada cliente só recebe essas mudanças com uma nova versão do app ^[5].

E se eu não puder atualizar o Telegram agora?

Se ainda não puder instalar a versão corrigida, não abra chats com bots que você não conhece e não inicie nenhum bot novo até atualizar ^[1][6]. O Gram News recomenda evitar chats em que bots desconhecidos enviam widgets até o app ser atualizado, porque o código de um widget roda assim que o balão aparece na tela ^[1].

• Verifique primeiro o armazenamento: celular cheio é o motivo mais comum de uma atualização falhar sem aviso. Libere espaço e tente de novo.
• Se a Google Play não estiver disponível no seu celular ou no seu país, use o APK oficial do telegram.org, e não um site espelho.
• Num computador compartilhado ou do trabalho que você não pode atualizar, use o Telegram num celular atualizado e encerre a sessão antiga do desktop.
• Abra Configurações e depois Dispositivos, e encerre qualquer sessão que você não reconheça. Isso não corrige o motor, mas limita o estrago se a conta já tiver sido exposta de outra forma.
• Ative a verificação em duas etapas com uma senha forte, para que um código de login roubado não baste para tomar a conta.

Até 15 de novembro de 2026, a CryptoSlate diz que as demonstrações dos pesquisadores não comprovam roubo de ativos nem exploração maliciosa generalizada, e os pesquisadores dizem que as falhas publicadas afetavam builds antigos, já corrigidos nos builds atuais ^[4][8]. Isso tranquiliza, mas não é garantia, porque o Telegram não disse se a falha foi explorada antes da correção ^[7].

Se você acha que sua conta foi invadida, siga o guia da Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. Se esqueceu a senha na nuvem ao proteger a conta, veja Forgot Your Telegram Two-Step Password? Recovery With or Without Email.