Виджеты Telegram: что это и как защититься от уязвимости

Что такое виджеты Telegram и в чём уязвимость?

Уязвимость виджетов Telegram — это набор ошибок в движке, который запускает новые интерактивные виджеты в сообщениях; по словам исследователей, в старых сборках приложений они позволяли выполнить код на устройстве пользователя ^[7]. Telegram представил виджеты в Bot API 10.4 9 ноября 2026 года ^[1]. Основатель Telegram Павел Дуров объявил о них на следующий день фразой «Any Telegram message can now become an app» («Любое сообщение в Telegram теперь может стать приложением») и описал виджеты как интерактивные, отрисовываемые нативно и размером менее 4 КБ ^[2].

Виджет — это небольшая программа, отправленная внутри сообщения. Чтобы её запускать, приложения Telegram включают компактный движок JavaScript QuickJS ^[7][8]. Любой движок, который выполняет внешний код, становится целью: ошибка в нём может позволить специально созданной программе выйти из «коробки», в которой она должна оставаться.

11 ноября исследователи безопасности V12 опубликовали запись «Any telegram message can now become RCE», то есть удалённое выполнение кода, а также криптографический хеш и демонстрационное видео ^[3]. В публичном разборе исследователя davtur19 описана ошибка парсера в QuickJS-ng и ещё несколько ошибок движка на Android, а главная из них указана с оценками серьёзности CVSS 9.6 и 8.8 ^[7].

Ниже: риск для обычных пользователей и что делать. Подробностей о том, как воспроизвести атаку, здесь нет.

Какие приложения и версии Telegram были затронуты?

По отчёту исследователя, затронуты были сборки Telegram для Android 72889, 72929, 73029 и 73039, Telegram для iOS 13.2, Telegram Desktop 7.4.0 и Telegram для macOS 13.1, и все они уже заменены новыми ^[7]. В том же отчёте сказано, что каждая перечисленная в нём проблема исправлена в текущих сборках, а исправления сделаны в собственном форке QuickJS от Telegram ^[7].

Проект widget-sandbox от Telegram, где хранится общий код виджетов, публично фиксирует свои исправления. Версия 0.6.4 от 10 ноября перечисляет пять исправлений ошибок use-after-free и выхода за границы; в ней сказано, что одна из закрытых ошибок была выявлена в Telegram Android 13.2.1 как выполнение нативного кода из скрипта виджета ^[8]. Версия 0.6.5 от 12 ноября добавляет ограничение в 1,024 уровня на глубину вложенности элементов виджета ^[8].

В публичном списке выпусков Telegram Desktop видна серия быстрых обновлений: 7.4.0 5 ноября, которая добавила HTML-виджеты в ботах, затем 7.4.1, 7.4.2, 7.4.3 12 ноября и 7.4.4 13 ноября ^[9]. В таблице ниже подытожено то, что известно публично.

Безопасно ли пользоваться Telegram сейчас?

Опубликованные исследователями ошибки исправлены в текущих сборках, но новое утверждение о настольном приложении от 13 ноября остаётся неразрешённым, поэтому разумно держать все приложения Telegram обновлёнными и не запускать незнакомых ботов ^[5][7]. Ошибки, которые обнародовали исследователи, исправлены в текущих сборках, Telegram сообщает, что исправление для Android дошло до всех пользователей 11 ноября, а о нападениях на обычных пользователей на 13 ноября 2026 года публично не сообщалось ^[4][7][10].

Оговорка исходит от самих исследователей. В своей записи от 13 ноября V12 утверждает, что «allowing (unsandboxed!) QuickJS in messages massively opens up the attack surface» («разрешение QuickJS без песочницы! в сообщениях резко расширяет поверхность атаки»), то есть новые ошибки могут находить и после исправления первых ^[5]. CyberSIXT процитировал исследователя Joel Eriksson, отметившего, что движок работает внутри самого процесса Telegram ^[10]. Бюллетеня безопасности и идентификаторов CVE для этих исправлений Telegram не опубликовал ^[10]. Российское издание Kod.ru 13 ноября со ссылкой на Gram News сообщило, что Telegram на стороне сервера отключил отправку HTML-виджетов всеми ботами, а уже доставленные виджеты продолжают работать; подтверждения от самого Telegram найти не удалось ^[11].

Для людей с повышенным риском, таких как журналисты, активисты и все, чей телефон может стать мишенью, планка выше. Обновляйте Telegram ежедневно на этой неделе, полностью избегайте незнакомых ботов и подумайте о переносе важных разговоров в приложение со сквозным шифрованием, включённым по умолчанию. Варианты сравнивает руководство Pouyam «Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks».

О чём спорят Дуров и исследователи?

Суть спора — можно ли было атаковать пользователя одним лишь входящим сообщением и оставалось ли приложение для Windows уязвимым после первых исправлений; оба пункта оспариваются на 13 ноября 2026 года ^[5][6][7].

Позиция Дурова, опубликованная 13 ноября: «The issue doesn't exist. No one could be hacked just by receiving a message. You had to start a 3rd party service first. Even that is fully patched server-side.» («Проблемы не существует. Никого нельзя было взломать одним полученным сообщением. Сначала нужно было запустить стороннего бота. Даже это полностью исправлено на стороне сервера.») ^[6] Он также предложил попробовать взломать его собственный аккаунт ^[6].

Позиция исследователей: в разборе davtur19 сказано, что виджеты запускаются, когда сообщение выводится на экран, без нажатия ^[7]. 13 ноября V12 опубликовал вторую демонстрацию, которая, по его словам, работает на «исправленном» клиенте для Windows ^[5].

Эти два заявления отчасти совместимы. В документации Bot API Telegram сказано, что в рабочей среде виджеты можно отправлять только в личные чаты ^[1], а CyberSIXT отмечает, что боты не могут писать пользователям, которые их не запускали ^[10]. В публикациях прессы о демонстрациях V12 сказано, что пользователь сначала открыл чат с ботом и нажал «Запустить» ^[11][12]. То есть показанный путь предполагал бота, которого пользователь запустил; в отчёте сказано, что после получения виджета он работает без дополнительного нажатия ^[7]. Считать ли это атакой «без клика» — предмет спора. Утверждение от 13 ноября о настольном клиенте независимо не проверено, поэтому здесь оно приводится как утверждение.

Как обновить Telegram на Android, iPhone и ПК?

Установите последнюю версию Telegram из официального магазина или с telegram.org на каждом используемом устройстве и перезапустите приложение ^[7][9]. Каждое приложение обновляется само по себе, поэтому исправленный телефон не защищает старое настольное приложение в том же аккаунте.

1. Android: откройте Google Play, найдите Telegram и нажмите «Обновить». Если вы устанавливали приложение с сайта Telegram, скачайте новейшую версию с того же официального сайта.
2. iPhone и iPad: откройте App Store, перейдите на страницу своей учётной записи и обновите Telegram либо включите автоматическое обновление приложений.
3. Windows и Linux (Telegram Desktop): воспользуйтесь проверкой обновлений в настройках приложения или скачайте новейшую сборку с telegram.org; на 13 ноября 2026 года последний публичный выпуск — 7.4.4 ^[9].
4. macOS: обновите Telegram через Mac App Store или внутри самого приложения, в зависимости от того, откуда вы его установили.
5. Telegram Web: перезагрузите страницу, чтобы браузер загрузил свежий код.

После обновления откройте «Настройки», затем «Устройства» (или «Активные сеансы») и завершите все сеансы, которых вы не узнаёте. Это не исправит ошибки виджетов, но закроет двери на случай, если что-то пошло не так по другой причине.

Как защититься от вредоносных ботов и виджетов Telegram?

Не запускайте незнакомых ботов, а любого бота, который присылает неожиданный интерактивный контент, удалите и заблокируйте ^[10]. В рабочей среде виджеты можно отправлять только в личные чаты ^[1], а в публикациях прессы о демонстрации V12 говорится, что пользователь сначала запустил бота ^[11][12], так что осторожная привычка с кнопкой «Запустить» закрывает показанный путь.

• Запускайте только тех ботов, которым доверяете: принадлежащих сервису, которым вы уже пользуетесь, со ссылкой с его официального сайта.
• Остерегайтесь ссылок, обещающих бесплатный Telegram Premium, криптовалютные раздачи, подарки или «верификацию». Это обычные приманки, чтобы заставить человека открыть бота.
• Не устанавливайте модифицированные или неофициальные приложения Telegram. Они могут отставать с официальными исправлениями безопасности.
• Включите двухэтапную проверку с надёжным паролем, чтобы одной украденной сессии или SMS-кода было недостаточно для захвата аккаунта.
• Обновляйте операционную систему телефона: это ограничивает то, до чего может добраться ошибка любого приложения.

Если вы думаете, что ваш аккаунт уже захвачен, выполните шаги из руководства Pouyam «WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down».

Будут ли новые ошибки в виджетах Telegram?

О новых ошибках, скорее всего, сообщат, потому что движок виджетов новый, открытый и теперь находится под пристальным вниманием исследователей ^[5][8]. Проект widget-sandbox от Telegram выпустил четыре релиза с 9 по 12 ноября, два из них помечены как исправления безопасности или усиления защиты движка QuickJS ^[8], а настольное приложение получило четыре обновления за восемь дней ^[9].

На что смотреть: официальный бюллетень безопасности Telegram, идентификаторы CVE для ошибок QuickJS, независимое подтверждение или опровержение утверждения о Windows от 13 ноября и любые сообщения о том, что виджеты использовали против реальных пользователей ^[5][10]. До тех пор безопаснее всего считать виджеты от незнакомых ботов недоверенным кодом, которым они и являются.