Обновить Телеграм: как установить исправление виджетов

Какая версия Telegram исправляет уязвимость виджетов?

Исправление виджетов есть в Telegram для Android 13.2.2 или новее и в Telegram Desktop 7.4.3 или новее; на iPhone, iPad и Mac установите последнюю версию из App Store или Mac App Store, потому что точная исправленная сборка не опубликована ^[1][2]. Эти номера взяты из открытого кода и списков выпусков Telegram, которые изучили независимые издания, а не из бюллетеня Telegram: такого бюллетеня нет ^[2][7].

Уязвимость находилась в QuickJS, небольшом движке JavaScript, который запускает интерактивные виджеты; Telegram добавил их для ботов в Bot API 10.4 9 ноября 2026 года ^[9]. 11 ноября компания по безопасности V12 опубликовала видео, где сообщение с виджетом запускало калькулятор на телефоне Android, — обычный признак того, что на устройстве выполняется чужой код ^[1]. Gram News сопоставил это сообщение с исправлением QuickJS от 10 ноября, сделанным за 21 минуту до объявления Павла Дурова об открытии виджетов для всех ботов, и пишет, что исправление вышло в Telegram для Android 13.2.2 (сборка 7303) ^[1].

Telegram Desktop исправили со второй попытки. Neurocrat, сравнивший сборки, сообщает, что версия 7.4.2 от 11 ноября содержала пять других исправлений памяти, но не ключевой патч, который появился только в 7.4.3 ^[2]. В публичном списке выпусков 7.4.3 датирована 12 ноября, а 7.4.4 — 13 ноября; у обеих одно описание: «Bug fixes and other minor improvements» ^[3].

По устройствам Apple картина менее точная. Архив исследователей называет Telegram для iOS 13.2 и Telegram для macOS 13.1 среди уязвимых сборок и утверждает, что опубликованные ошибки исправлены в текущих сборках ^[8]. Neurocrat не нашёл номеров сборок с патчами для iPhone и Mac ^[2]. Практическое правило простое: на каком бы устройстве вы ни работали, нужна последняя официальная версия.

Это пошаговое продолжение руководства Pouyam Telegram Widgets Flaw: Is Telegram Safe and How to Update, где объясняется сама уязвимость и спор о том, насколько она опасна.

Как узнать, какая версия Telegram у меня установлена?

На Android номер версии показан в самом низу экрана настроек Telegram; на других устройствах он есть в настройках приложения или в сведениях о приложении в системе ^[1]. Сравните его с таблицей ниже. Если ваш номер меньше указанного, обновитесь, прежде чем открывать чат с любым ботом.

В Telegram Desktop для Windows и Linux откройте «Настройки», затем «Продвинутые настройки»: раздел о версии и обновлениях показывает установленную версию и позволяет проверить наличие новой. На iPhone или iPad система показывает версию приложения в разделе «Настройки», «Основные», «Хранилище iPhone» (или «Хранилище iPad»), затем Telegram. На Mac откройте меню приложения и выберите «О Telegram».

Две детали часто путают. Во-первых, на Android номер сборки и номер версии — разные вещи: Gram News указывает исправленную версию 13.2.2 и номер сборки 7303 в скобках ^[1]. Архив исследователей обозначает старые сборки Android более длинными кодами, например 72889, 72929, 73029 и 73039 ^[8]. Во-вторых, для Mac есть два приложения Telegram: Telegram для macOS из Mac App Store, уязвимой версией которого исследователи называют 13.1, и Telegram Desktop — то же приложение, что и на Windows, с нумерацией 7.4.x ^[3][8].

Проверить версию стоит, даже если телефон обновляет приложения автоматически. Автообновления могут откладываться на несколько дней из-за нехватки памяти, режима энергосбережения, лимитного подключения или выхода из аккаунта магазина.

Как обновить Telegram на Android?

Обновите Telegram через Google Play или, если вы устанавливали его оттуда, через сайт самого Telegram, и убедитесь, что после этого отображается версия 13.2.2 или выше ^[1]. 11 ноября 2026 года Telegram заявил, что исправление для Android «было развёрнуто для всех пользователей», так что обновление уже должно быть доступно в магазине ^[10].

1. Откройте Google Play, нажмите на фото профиля, затем «Управление приложениями и устройством» и найдите Telegram среди доступных обновлений. Нажмите «Обновить».
2. Если вы устанавливали Telegram из APK с telegram.org, скачайте новейший APK с того же официального сайта и установите поверх старого; чаты сохранятся.
3. Откройте Telegram, перейдите в «Настройки» и прокрутите вниз, чтобы увидеть номер версии ^[1].
4. Один раз перезапустите приложение, чтобы заработал новый движок виджетов.

Gram News отмечает, что пять дополнительных исправлений движка из widget-sandbox 0.6.4, вышедших позже 10 ноября, судя по всему, не вошли в саму 13.2.2 ^[1][5]. Это повод обновляться и дальше, не останавливаясь на минимальной версии: каждая новая сборка может содержать больше исправлений движка из публичного журнала изменений Telegram ^[5].

Избегайте сайтов с APK, модифицированных клиентов и неофициальных версий «plus» или «gold». Их собирают не из текущего кода Telegram и не по его графику, поэтому исправление, дошедшее до официального приложения, может прийти к ним поздно или не прийти вовсе. Руководство Pouyam Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks объясняет, почему неофициальные версии сами по себе представляют угрозу безопасности.

Как обновить Telegram Desktop на Windows и Linux?

Откройте «Настройки», затем «Продвинутые настройки» и проверьте обновления в разделе о версии и обновлениях или скачайте новейшую сборку с telegram.org; нужна версия 7.4.3 или новее, а самая новая на 15 ноября 2026 года — 7.4.4 ^[2][3]. Настольное приложение версии 7.4.0 входило в список клиентов, которые исследователи назвали уязвимыми ^[8].

1. В Telegram Desktop откройте меню, затем «Настройки» и «Продвинутые настройки».
2. Включите автоматическое обновление, если оно выключено, затем выберите проверку обновлений. Когда загрузка закончится, перезапустите Telegram по запросу.
3. Снова проверьте номер версии в том же разделе. Он должен быть 7.4.3 или выше ^[3].
4. Если вы установили Telegram через Microsoft Store, менеджер пакетов Linux, Flatpak или Snap, обновляйте его тем же способом; такие сборки могут появляться немного позже выпуска на GitHub ^[3].

Пользователям Windows на этой неделе стоит сделать ещё один шаг. 13 ноября исследователи V12 заявили о новом способе выполнения кода в том, что они назвали исправленным клиентом для Windows; это заявление прозвучало в единственном посте, и независимого подтверждения в проверенных источниках найти не удалось ^[11]. Telegram Desktop 7.4.4 вышел позже в тот же день, 13 ноября, без подробных примечаний ^[3]. Пока вопрос открыт, оставаться на новейшей сборке — единственная защита, доступная обычному пользователю.

Если вы пользуетесь Telegram на рабочем компьютере, который не можете обновить сами, попросите ИТ-отдел установить 7.4.4 или новее, а до тех пор не открывайте на нём чаты с ботами.

Как обновить Telegram на iPhone, iPad и Mac?

Установите последнюю версию Telegram из App Store или Mac App Store; по словам исследователей, ошибки, найденные ими в Telegram для iOS 13.2 и Telegram для macOS 13.1, исправлены в текущих сборках, но точный номер исправленной сборки не опубликован ^[2][8]. Ни Telegram, ни независимые издания не назвали минимальную безопасную версию для устройств Apple, а CryptoSlate отмечает, что архив исследователей не устанавливает её для каждого клиента ^[2][4].

1. iPhone и iPad: откройте App Store, нажмите на фото учётной записи вверху, прокрутите до списка обновлений и нажмите «Обновить» рядом с Telegram. Чтобы не делать этого вручную, включите автоматические обновления приложений в настройках App Store.
2. Mac, Telegram для macOS: откройте Mac App Store, выберите «Обновления» и обновите Telegram.
3. Mac, Telegram Desktop: это то же приложение, что и на Windows; обновите его в разделе «Настройки», «Продвинутые настройки» и проверьте, что версия — 7.4.3 или выше ^[3].
4. После обновления полностью закройте приложение и откройте снова.

Если App Store сообщает, что Telegram обновлён, у вас уже последняя публичная сборка. Больше обычный пользователь ничего установить не может; остаётся защита поведением: не запускайте незнакомых ботов ^[6].

Тем, кому нужна усиленная защита, например журналистам и активистам, стоит также поддерживать актуальной версию iOS на iPhone. Обновление операционной системы ограничивает то, до чего может добраться ошибка любого приложения, в каком бы мессенджере она ни была.

Что изменилось в Telegram для Android 13.2.2?

Помимо исправления движка, Telegram для Android 13.2.2 переносит весь код виджетов в отдельный изолированный процесс, так что будущая ошибка такого же рода окажется там, где нет доступа к вашему аккаунту, чатам и ключам ^[1]. По данным Gram News, коммит выпуска затрагивает 96 файлов и около 6.800 строк, большая часть которых относится к этой новой границе ^[1].

Согласно документации в коде клиента, которую пересказывает Gram News, новый процесс под названием :widgets выполняет JavaScript виджета, его валидатор и рендерер ^[1]. У него нет разрешений Android, нет сети и нет доступа к файлам приложения ^[1]. Основной процесс Telegram больше вообще не загружает библиотеку движка, а всё, что возвращает процесс виджетов, считается недоверенным и проверяется заново: например, разрешается одна ссылка на одно реальное нажатие ^[1].

Поверх этого работает фильтр системных вызовов seccomp. Пока он в основном действует в режиме журналирования: запрещённые вызовы записываются, а не блокируются, но запуск программ и создание новых процессов уже отклоняются ^[1]. Все виджеты обслуживает один процесс, а не отдельный процесс на каждого бота; по словам Gram News, от отдельного процесса для каждого бота отказались, потому что каждый занимал бы около 25 МБ памяти ^[1].

Это важно для понимания того, насколько защищает номер версии. До изменения исследователь Джоэл Эрикссон (Joel Eriksson) отмечал, что движок работал внутри самого процесса Telegram, поэтому эксплойт движка получал права приложения ^[7]. Архив исследователей сообщает о выполнении кода на уровне приложения в некоторых старых сборках Android, но в более поздних сборках, таких как 72979 и 72989, результат оставался внутри изолированного процесса виджетов ^[4]. Иными словами, новые сборки и устраняют опубликованные ошибки, и ограничивают ущерб, который могла бы нанести новая.

Могут ли боты отправлять виджеты после исправления?

Пока нет: 13 ноября 2026 года участник разработки репозитория Bot API Telegram подтвердил, что обычным ботам не разрешено использовать виджеты даже в личных чатах ^[4]. Разработчики, которые раньше отправляли виджеты, стали получать ошибку INPUT_MEDIA_WIDGET_NOT_ALLOWED, сообщает CryptoSlate ^[4].

Основатель Telegram Павел Дуров 13 ноября заявил: «No one could be hacked just by receiving a message» (никого нельзя было взломать просто сообщением), пользователь «had to actively start a third-party service first», и «Even that is fully patched server-side» ^[6]. Серверное ограничение и его заявление указывают в одну сторону: по словам Дурова, для этого пути требовался сторонний сервис, который пользователь запустил сам ^[4][6].

Это не делает обновление необязательным. CryptoSlate отмечает, что ограничение не уточняет, как отображаются уже доставленные виджеты, почему доступ сузили и когда его могут вернуть ^[4]. Когда виджеты снова откроют для ботов, исправленный движок будет только в обновлённом приложении. К тому же код виджета может не только показывать содержимое: по документированной схеме Telegram виджеты могут запрашивать карточку TON-кошелька пользователя или данные, подписанные кошельком, — ещё одна причина держать клиент обновлённым ^[4].

Общий код виджетов тоже продолжает меняться. Проект Telegram widget-sandbox выпустил версию 0.6.4 10 ноября с пятью исправлениями безопасности памяти и версию 0.6.5 12 ноября, ограничивающую глубину вложенности элементов виджета 1.024 уровнями ^[5]. Каждый клиент получает эти изменения только с новой версией приложения ^[5].

Что делать, если обновить Telegram сразу нельзя?

Если вы пока не можете установить исправленную версию, не открывайте чаты с незнакомыми ботами и не запускайте новых ботов до обновления ^[1][6]. Gram News советует до обновления избегать чатов, где незнакомые боты присылают виджеты, потому что код виджета выполняется, как только его пузырь появляется на экране ^[1].

• Сначала проверьте память: заполненный телефон — самая частая причина, по которой обновление незаметно не устанавливается. Освободите место и попробуйте снова.
• Если Google Play недоступен на вашем телефоне или в вашей стране, используйте официальный APK с telegram.org, а не сайт-зеркало.
• На общем или рабочем компьютере, который нельзя обновить, пользуйтесь Telegram на обновлённом телефоне и завершите старый сеанс на компьютере.
• Откройте «Настройки», затем «Устройства» и завершите все незнакомые сеансы. Это не исправляет движок, но ограничивает ущерб, если аккаунт уже был скомпрометирован иным способом.
• Включите двухэтапную аутентификацию с надёжным паролем, чтобы одного украденного кода входа было недостаточно для захвата аккаунта.

На 15 ноября 2026 года CryptoSlate сообщает, что демонстрации исследователей не доказывают ни кражи активов, ни масштабной вредоносной эксплуатации, а сами исследователи говорят, что опубликованные ими ошибки касались старых сборок, которые теперь исправлены в актуальных ^[4][8]. Это обнадёживает, но не гарантирует безопасность: Telegram не сказал, использовалась ли уязвимость до исправления ^[7].

Если вы считаете, что ваш аккаунт захвачен, следуйте руководству Pouyam WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. Если вы забыли облачный пароль, защищая аккаунт, см. Forgot Your Telegram Two-Step Password? Recovery With or Without Email.