Falha nos widgets do Telegram: é seguro? Como atualizar

O que é a falha nos widgets do Telegram?

A falha nos widgets do Telegram é um conjunto de bugs no mecanismo que executa os novos widgets interativos de mensagem do Telegram, que, segundo pesquisadores, permitiram a execução de código no dispositivo do usuário em versões antigas dos apps ^[7]. O Telegram lançou os widgets na Bot API 10.4 em 9 de novembro de 2026 ^[1]. Pavel Durov, fundador do Telegram, os anunciou no dia seguinte com a frase “Any Telegram message can now become an app”, descrevendo os widgets como interativos, renderizados de forma nativa e menores que 4 KB ^[2].

Um widget é um pequeno programa enviado dentro de uma mensagem. Para executá-lo, os apps do Telegram incluem um mecanismo JavaScript compacto chamado QuickJS ^[7][8]. Qualquer mecanismo que executa código vindo de fora é um alvo, porque um bug nele pode permitir que um programa manipulado escape da caixa em que deveria ficar.

Em 11 de novembro, os pesquisadores de segurança do V12 publicaram “Any telegram message can now become RCE”, ou seja, execução remota de código, junto com um hash criptográfico e um vídeo de demonstração ^[3]. Um relatório público do pesquisador davtur19 descreveu um bug de parser no QuickJS-ng e vários outros bugs do mecanismo no Android, e lista o principal com pontuações de gravidade CVSS de 9.6 e 8.8 ^[7].

A seguir: o risco para usuários comuns e o que fazer. Não são dados detalhes de como reproduzir o ataque.

Quais apps e versões do Telegram foram afetados?

Segundo o relatório do pesquisador, as versões afetadas foram as builds 72889, 72929, 73029 e 73039 do Telegram para Android, o Telegram para iOS 13.2, o Telegram Desktop 7.4.0 e o Telegram para macOS 13.1, todas já substituídas ^[7]. O mesmo relatório diz que todos os problemas listados estão corrigidos nas versões atuais, com as correções feitas no fork do QuickJS mantido pelo próprio Telegram ^[7].

O projeto widget-sandbox do Telegram, que reúne o código compartilhado dos widgets, registra suas correções publicamente. A versão 0.6.4, de 10 de novembro, lista cinco correções de use-after-free e de acesso fora dos limites; ela diz que um dos bugs corrigidos foi relatado no Telegram Android 13.2.1 como execução de código nativo a partir do script de um widget ^[8]. A versão 0.6.5, de 12 de novembro, acrescenta um limite de 1.024 níveis para o aninhamento dos elementos de um widget ^[8].

Para o Telegram Desktop, a lista pública de versões mostra uma sequência de atualizações rápidas: 7.4.0 em 5 de novembro, que adicionou widgets HTML em bots, depois 7.4.1, 7.4.2, 7.4.3 em 12 de novembro e 7.4.4 em 13 de novembro ^[9]. A tabela abaixo resume o que é público.

O Telegram é seguro para usar agora?

Os bugs publicados pelos pesquisadores estão corrigidos nas versões atuais, mas uma nova alegação sobre o app para desktop em 13 de novembro continua sem resposta, então o mais sensato é manter todos os apps do Telegram atualizados e evitar bots desconhecidos ^[5][7]. Os bugs que os pesquisadores publicaram estão corrigidos nas versões atuais, o Telegram diz que a correção para Android chegou a todos os usuários em 11 de novembro, e nenhum ataque a usuários comuns foi relatado publicamente até 13 de novembro de 2026 ^[4][7][10].

A ressalva vem dos próprios pesquisadores. Na publicação de 13 de novembro, o V12 argumentou que “allowing (unsandboxed!) QuickJS in messages massively opens up the attack surface”, ou seja, novos bugs podem ser encontrados mesmo depois de corrigidos os primeiros ^[5]. O CyberSIXT citou o pesquisador Joel Eriksson, que observou que o mecanismo roda dentro do próprio processo do Telegram ^[10]. O Telegram não publicou um aviso de segurança nem identificadores CVE para as correções ^[10]. O veículo russo Kod.ru informou em 13 de novembro, citando o Gram News, que o Telegram desativou no servidor o envio de widgets HTML para todos os bots, enquanto os widgets já entregues continuam funcionando; não se encontrou confirmação do próprio Telegram ^[11].

Para pessoas em maior risco, como jornalistas, ativistas e qualquer um cujo celular possa ser alvo, o nível de cuidado é mais alto. Mantenha o Telegram atualizado todos os dias nesta semana, evite totalmente bots desconhecidos e considere levar conversas sensíveis para um app com criptografia de ponta a ponta ativada por padrão. O guia da Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks compara as opções.

Em que Durov e os pesquisadores discordam?

A disputa central é se um usuário poderia ser atacado apenas por receber uma mensagem e se o app para Windows continuou exposto depois das primeiras correções; os dois pontos são contestados em 13 de novembro de 2026 ^[5][6][7].

A posição de Durov, publicada em 13 de novembro: “The issue doesn't exist. No one could be hacked just by receiving a message. You had to start a 3rd party service first. Even that is fully patched server-side.” ^[6] Ele também convidou as pessoas a tentar hackear a própria conta dele ^[6].

A posição dos pesquisadores: o relatório de davtur19 diz que os widgets rodam quando a mensagem é montada na tela, sem necessidade de toque ^[7]. O V12 publicou uma segunda demonstração em 13 de novembro que, segundo ele, funciona no cliente Windows “corrigido” ^[5].

As duas declarações podem se encaixar em parte. A documentação da Bot API do Telegram diz que, em produção, os widgets só podem ser enviados a chats privados ^[1], e o CyberSIXT observa que bots não podem enviar mensagens a usuários que não os iniciaram ^[10]. Reportagens sobre as demonstrações do V12 dizem que o usuário primeiro abriu o chat do bot e tocou em Iniciar ^[11][12]. Ou seja, o caminho mostrado foi um bot que o usuário havia iniciado; o relatório diz que, quando um widget chega, ele roda sem outro toque ^[7]. Se isso conta como “sem clique” é a discussão. A alegação de 13 de novembro sobre o cliente para desktop não foi verificada de forma independente, por isso é apresentada aqui como alegação.

Como atualizar o Telegram no Android, no iPhone e no PC?

Instale a versão mais recente do Telegram pela loja oficial ou por telegram.org em todos os dispositivos que você usa e reinicie o app ^[7][9]. Cada app é atualizado separadamente, então um celular corrigido não protege um app de desktop antigo na mesma conta.

1. Android: abra a Google Play, busque Telegram e toque em Atualizar. Se você instalou pelo site do próprio Telegram, baixe a versão mais nova do mesmo site oficial.
2. iPhone e iPad: abra a App Store, vá à página da sua conta e atualize o Telegram, ou ative as atualizações automáticas de apps.
3. Windows e Linux (Telegram Desktop): use a verificação de atualização do app em Configurações ou baixe a versão mais nova em telegram.org; em 13 de novembro de 2026, a versão pública mais recente é a 7.4.4 ^[9].
4. macOS: atualize o Telegram pela Mac App Store ou pelo próprio app, conforme o local em que você o instalou.
5. Telegram Web: recarregue a página para que o navegador carregue o código mais recente.

Depois de atualizar, abra Configurações, depois Dispositivos (ou Sessões ativas) e encerre qualquer sessão que você não reconheça. Essa etapa não corrige os bugs dos widgets, mas fecha portas caso mais alguma coisa tenha dado errado.

Como me proteger de bots e widgets maliciosos no Telegram?

Não inicie bots que você não conhece e exclua e bloqueie qualquer bot que envie conteúdo interativo inesperado ^[10]. Em produção, os widgets só podem ser enviados a chats privados ^[1], e reportagens sobre a demonstração do V12 dizem que o usuário primeiro iniciou o bot ^[11][12], então o hábito de ter cautela com o botão Iniciar elimina o caminho que foi mostrado.

• Inicie apenas bots em que você confia: os de um serviço que você já usa, indicados no site oficial dele.
• Desconfie de links que prometem Telegram Premium grátis, airdrops de criptomoedas, presentes ou “verificação”. São as iscas habituais para levar alguém a abrir um bot.
• Não instale apps do Telegram modificados ou não oficiais. Eles podem demorar a receber as correções de segurança oficiais.
• Ative a verificação em duas etapas com uma senha forte, para que uma sessão roubada ou um código por SMS não bastem para tomar a sua conta.
• Mantenha o sistema operacional do celular atualizado; isso limita o que o bug de qualquer app consegue alcançar.

Se você acha que sua conta já foi invadida, siga os passos do guia da Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down.

Haverá mais bugs nos widgets do Telegram?

É provável que mais bugs sejam relatados, porque o mecanismo de widgets é novo, público e está agora sob a atenção atenta de pesquisadores ^[5][8]. O projeto widget-sandbox do Telegram publicou quatro versões entre 9 e 12 de novembro, duas delas identificadas como correções de segurança ou de reforço do mecanismo QuickJS ^[8], e o app para desktop recebeu quatro atualizações em oito dias ^[9].

Sinais a acompanhar: um aviso formal de segurança do Telegram, identificadores CVE para os bugs do QuickJS, uma confirmação ou refutação independente da alegação sobre o Windows de 13 de novembro e qualquer relato de widgets usados contra usuários reais ^[5][10]. Até lá, o mais seguro é tratar widgets de bots desconhecidos como código não confiável, que é o que eles são.