Telegram güncelleme: Widget güvenlik yaması nasıl kurulur?

Widget açığını hangi Telegram sürümü kapatıyor?

Widget yaması Android için Telegram 13.2.2 ve üstünde ve Telegram Desktop 7.4.3 ve üstünde; iPhone, iPad ve Mac'te kesin bir düzeltilmiş derleme açıklanmadığı için App Store ya da Mac App Store'daki en yeni sürümü kurun ^[1][2]. Bu numaralar bir Telegram bülteninden değil, bağımsız yayınların incelediği Telegram açık kaynak kodundan ve sürüm listelerinden geliyor; Telegram böyle bir bülten yayımlamadı ^[2][7].

Açık, Telegram'ın 9 Kasım 2026'da Bot API 10.4 ile botlara eklediği etkileşimli widget'ları çalıştıran küçük JavaScript motoru QuickJS'teydi ^[9]. 11 Kasım'da güvenlik şirketi V12, bir widget mesajının Android telefonda hesap makinesini açtığı bir video yayımladı; bu, cihazda dışarıdan gelen kodun çalıştığının olağan işaretidir ^[1]. Gram News bu raporu, 10 Kasım tarihli bir QuickJS düzeltmesiyle eşleştirdi; düzeltme, Pavel Durov'un widget'ları tüm botlara açan duyurusundan 21 dakika önce yapılmıştı ve Gram News düzeltmenin Android için Telegram 13.2.2'de (derleme 7303) yayımlandığını söylüyor ^[1].

Telegram Desktop'ta düzeltme iki denemede geldi. Derlemeleri karşılaştıran Neurocrat, 11 Kasım tarihli 7.4.2 sürümünün beş başka bellek düzeltmesi içerdiğini ama asıl yamayı içermediğini, yamanın ancak 7.4.3 ile geldiğini bildiriyor ^[2]. Herkese açık sürüm listesi 7.4.3'ü 12 Kasım'da, 7.4.4'ü 13 Kasım'da gösteriyor; ikisinin açıklaması da yalnızca "Bug fixes and other minor improvements" ^[3].

Apple cihazlarında tablo daha az net. Araştırmacıların arşivi iOS için Telegram 13.2 ile macOS için Telegram 13.1'i etkilenen derlemeler arasında sayıyor ve yayımlanan hataların güncel derlemelerde giderildiğini söylüyor ^[8]. Neurocrat, iPhone ve Mac için yamaları içeren derleme numaralarını bulamadı ^[2]. Pratik kural basit: Hangi cihazı kullanırsanız kullanın, olması gereken sürüm en yeni resmi sürümdür.

Bu rehber, açığın kendisini ve ne kadar tehlikeli olduğu konusundaki tartışmayı anlatan Pouyam rehberi Telegram Widgets Flaw: Is Telegram Safe and How to Update'in adım adım devamıdır.

Hangi Telegram sürümünü kullandığımı nasıl anlarım?

Android'de sürüm numarası Telegram Ayarlar ekranının en altında görünür; diğer cihazlarda uygulamanın ayarlarında ya da sistemdeki uygulama bilgilerinde yer alır ^[1]. Numaranızı aşağıdaki tabloyla karşılaştırın. Numaranız tablodakinden düşükse herhangi bir botla sohbet açmadan önce güncelleyin.

Windows ve Linux için Telegram Desktop'ta Ayarlar'ı, ardından Gelişmiş'i açın: Sürüm ve güncellemeler bölümü kurulu sürümü gösterir ve yeni sürüm aramanızı sağlar. iPhone ya da iPad'de sistem, bir uygulamanın sürümünü Ayarlar, Genel, iPhone Saklama Alanı (ya da iPad Saklama Alanı) ve ardından Telegram altında gösterir. Mac'te uygulama menüsünü açıp "Telegram Hakkında"yı seçin.

İki ayrıntı sık sık kafa karıştırır. Birincisi, Android'de derleme numarası ile sürüm numarası farklı şeylerdir: Gram News düzeltilmiş sürümü 13.2.2, derleme numarasını parantez içinde 7303 olarak veriyor ^[1]. Araştırmacıların arşivi eski Android derlemelerini 72889, 72929, 73029 ve 73039 gibi daha uzun derleme kodlarıyla anıyor ^[8]. İkincisi, Mac için iki Telegram uygulaması vardır: Araştırmacıların etkilenen sürüm olarak 13.1'i andığı Mac App Store'daki macOS için Telegram ve Windows'takiyle aynı uygulama olup 7.4.x numaralandırmasını izleyen Telegram Desktop ^[3][8].

Telefonunuz uygulamaları otomatik güncellese bile sürümü kontrol etmeye değer. Otomatik güncellemeler; düşük depolama alanı, pil tasarrufu, sınırlı bağlantı ya da oturumu kapalı bir mağaza hesabı yüzünden günlerce gecikebilir.

Telegram Android'de nasıl güncellenir?

Telegram'ı Google Play'den ya da uygulamayı oradan kurduysanız Telegram'ın kendi sitesinden güncelleyin ve sonrasında 13.2.2 veya daha yüksek bir sürümün göründüğünden emin olun ^[1]. Telegram 11 Kasım 2026'da Android düzeltmesinin "tüm kullanıcılara dağıtıldığını" açıkladı; yani güncelleme mağazada zaten sunuluyor olmalı ^[10].

1. Google Play'i açın, profil resminize, ardından "Uygulamaları ve cihazı yönet"e dokunun ve mevcut güncellemeler arasında Telegram'ı bulun. "Güncelle"ye dokunun.
2. Telegram'ı telegram.org'daki APK ile kurduysanız aynı resmi siteden en yeni APK'yı indirip eskisinin üzerine kurun; sohbetleriniz yerinde kalır.
3. Telegram'ı açın, Ayarlar'a gidin ve sürüm numarasını görmek için en alta kaydırın ^[1].
4. Yeni widget motorunun kullanılması için uygulamayı bir kez yeniden başlatın.

Gram News, widget-sandbox 0.6.4'te 10 Kasım'ın ilerleyen saatlerinde yayımlanan beş ek motor düzeltmesinin 13.2.2'nin kendisine dahil edilmemiş göründüğünü belirtiyor ^[1][5]. Bu, asgari sürümle yetinmeyip güncellemeye devam etmek için bir neden: Her yeni derleme, Telegram'ın herkese açık değişiklik günlüğünde listelenen motor düzeltmelerinden daha fazlasını içerebilir ^[5].

APK indirme sitelerinden, değiştirilmiş istemcilerden ve resmi olmayan "plus" ya da "gold" sürümlerden uzak durun. Bunlar Telegram'ın güncel kodundan, Telegram'ın takvimine göre derlenmez; resmi uygulamaya ulaşan bir düzeltme bunlara geç ulaşabilir ya da hiç ulaşmayabilir. Pouyam rehberi Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks, resmi olmayan sürümlerin neden başlı başına bir güvenlik riski olduğunu anlatıyor.

Telegram Desktop Windows ve Linux'ta nasıl güncellenir?

Ayarlar'ı, ardından Gelişmiş'i açıp sürüm ve güncellemeler bölümünden güncelleme arayın ya da en yeni derlemeyi telegram.org'dan indirin; 7.4.3 veya üstüne ihtiyacınız var ve 15 Kasım 2026 itibarıyla en yeni sürüm 7.4.4 ^[2][3]. Masaüstü uygulaması, 7.4.0 sürümüyle araştırmacıların etkilenen istemciler listesinde yer alıyordu ^[8].

1. Telegram Desktop'ta menüyü, ardından Ayarlar'ı ve Gelişmiş'i açın.
2. Seçenek kapalıysa otomatik güncellemeleri açın, ardından güncellemeleri denetleme seçeneğini kullanın. İndirme bitince istendiğinde Telegram'ı yeniden başlatın.
3. Sürüm numarasını aynı bölümde yeniden kontrol edin. 7.4.3 veya daha yüksek olmalıdır ^[3].
4. Telegram'ı Microsoft Store, bir Linux paket yöneticisi, Flatpak ya da Snap ile kurduysanız aynı kanaldan güncelleyin; bu derlemeler GitHub'daki yayından biraz sonra gelebilir ^[3].

Windows kullanıcıları bu hafta bir adım daha atmalı. 13 Kasım'da V12 araştırmacıları, yamalı Windows istemcisi dedikleri sürümde başka bir kod çalıştırma yolu bulduklarını öne sürdü; bu iddia tek bir gönderide yer aldı ve incelenen kaynaklarda bağımsız bir doğrulamaya rastlanmadı ^[11]. Telegram Desktop 7.4.4, 13 Kasım'ın ilerleyen saatlerinde ayrıntılı sürüm notu olmadan yayımlandı ^[3]. Bu soru açık kaldıkça sıradan bir kullanıcının elindeki tek koruma en yeni derlemede kalmaktır.

Telegram'ı kendiniz güncelleyemediğiniz bir iş bilgisayarında kullanıyorsanız BT biriminizden 7.4.4 veya üstünü yüklemesini isteyin; o zamana kadar bu cihazda botlarla sohbet açmayın.

Telegram iPhone, iPad ve Mac'te nasıl güncellenir?

En yeni Telegram'ı App Store'dan ya da Mac App Store'dan kurun; araştırmacılara göre iOS için Telegram 13.2 ve macOS için Telegram 13.1'de buldukları hatalar güncel derlemelerde giderildi, ancak kesin düzeltilmiş derleme numarası açıklanmadı ^[2][8]. Ne Telegram ne de bağımsız haberler Apple cihazları için güvenli bir asgari sürüm belirtti; CryptoSlate da araştırma arşivinin her istemci için böyle bir sürüm ortaya koymadığını not ediyor ^[2][4].

1. iPhone ve iPad: App Store'u açın, üstteki hesap resminize dokunun, güncellemeler listesine kaydırın ve Telegram'ın yanındaki "Güncelle"ye dokunun. Bunu ileride tekrar yapmamak için App Store ayarlarında otomatik uygulama güncellemelerini açın.
2. Mac, macOS için Telegram: Mac App Store'u açın, "Güncellemeler"i seçin ve Telegram'ı güncelleyin.
3. Mac, Telegram Desktop: Bu, Windows'takiyle aynı uygulamadır; Ayarlar, Gelişmiş üzerinden güncelleyin ve 7.4.3 veya üstünü gösterdiğini kontrol edin ^[3].
4. Güncellemeden sonra uygulamayı tamamen kapatıp yeniden açın.

App Store Telegram'ın güncel olduğunu söylüyorsa en yeni herkese açık derlemeye zaten sahipsiniz. Sıradan bir kullanıcının kurabileceği başka bir şey yok; geriye kalan koruma davranıştır: Tanımadığınız botları başlatmayın ^[6].

Gazeteciler ve aktivistler gibi daha güçlü korumaya ihtiyaç duyanlar iPhone'un iOS sürümünü de güncel tutmalı. İşletim sistemi güncellemesi, hangi mesajlaşma uygulamasında olursa olsun bir uygulama hatasının nereye kadar uzanabileceğini sınırlar.

Android için Telegram 13.2.2'de neler değişti?

Android için Telegram 13.2.2, motor düzeltmesinin yanı sıra tüm widget kodunu ayrı ve kilitli bir sürece taşıyor; böylece aynı türden gelecekteki bir hata hesabınıza, sohbetlerinize ya da anahtarlarınıza erişimi olmayan bir yerde kalır ^[1]. Gram News'e göre sürüm commit'i 96 dosyaya ve yaklaşık 6.800 satıra dokunuyor; bunun büyük kısmı bu yeni sınır için ^[1].

İstemci kodundaki belgelere göre, Gram News'in özetlediği şekliyle, :widgets adlı yeni süreç widget'ın JavaScript'ini, doğrulayıcısını ve oluşturucusunu çalıştırıyor ^[1]. Bu sürecin Android izni, ağ erişimi ve uygulama dosyalarına erişimi yok ^[1]. Telegram'ın ana süreci motor kütüphanesini artık hiç yüklemiyor; widget sürecinin geri gönderdiği her şey güvenilmez kabul edilip yeniden denetleniyor, örneğin her gerçek dokunuş için tek bir bağlantıya izin veriliyor ^[1].

Bunların üstünde seccomp adlı bir sistem çağrısı filtresi var. Şimdilik çoğunlukla kayıt modunda çalışıyor, yani yasak çağrıları engellemek yerine kaydediyor; ancak program başlatma ve yeni süreç oluşturma şimdiden reddediliyor ^[1]. Her bot için ayrı süreç yerine tek bir süreç tüm widget'lara hizmet veriyor; Gram News, her bot için ayrı süreç fikrinin, her biri yaklaşık 25 MB bellek kullanacağı için bırakıldığını söylüyor ^[1].

Bu, sürüm numarasının sizi ne kadar koruduğu açısından önemli. Değişiklikten önce araştırmacı Joel Eriksson, motorun Telegram sürecinin içinde çalıştığını, dolayısıyla bir motor istismarının uygulamanın yetkilerini ele geçirdiğini belirtmişti ^[7]. Araştırmacıların arşivi bazı eski Android derlemelerinde uygulama düzeyinde kod çalıştırma, 72979 ve 72989 gibi sonraki derlemelerde ise yalıtılmış bir widget sürecinde kalan sonuçlar bildiriyor ^[4]. Kısacası yeni derlemeler hem yayımlanan hataları gideriyor hem de yeni bir hatanın verebileceği zararı sınırlıyor.

Yamadan sonra botlar hâlâ widget gönderebilir mi?

Şimdilik hayır: 13 Kasım 2026'da Telegram'ın Bot API deposuna katkıda bulunan biri, genel botların özel sohbetlerde bile widget kullanamadığını doğruladı ^[4]. CryptoSlate'e göre widget gönderen geliştiriciler INPUT_MEDIA_WIDGET_NOT_ALLOWED hatası almaya başladı ^[4].

Telegram'ın kurucusu Pavel Durov 13 Kasım'da "No one could be hacked just by receiving a message" (kimsenin yalnızca mesaj alarak hacklenemeyeceği), kullanıcının "had to actively start a third-party service first" ve "Even that is fully patched server-side" dedi ^[6]. Sunucu tarafındaki kısıtlama ile onun açıklaması aynı yönü gösteriyor: Durov'a göre yol, kullanıcının önceden başlattığı üçüncü taraf bir hizmet gerektiriyordu ^[4][6].

Bu, uygulama güncellemesini isteğe bağlı hale getirmiyor. CryptoSlate, kısıtlamanın daha önce iletilmiş widget'ların nasıl gösterileceğini, erişimin neden daraltıldığını ve ne zaman geri gelebileceğini belirtmediğini not ediyor ^[4]. Widget'lar botlara yeniden açıldığında düzeltilmiş motoru yalnızca güncellenmiş bir uygulama taşıyacak. Widget kodu içerik göstermekten fazlasını da yapabilir: Telegram'ın belgelenmiş tasarımı, widget'ların kullanıcının TON cüzdan kartını sorgulamasına ya da cüzdanla imzalanmış veri istemesine izin veriyor; bu da istemciyi güncel tutmak için bir neden daha ^[4].

Ortak widget kodu da değişmeye devam ediyor. Telegram'ın widget-sandbox projesi 10 Kasım'da beş bellek güvenliği düzeltmesiyle 0.6.4 sürümünü, 12 Kasım'da da bir widget'ın öğelerinin iç içe geçme derinliğini 1.024 düzeyle sınırlayan 0.6.5 sürümünü yayımladı ^[5]. Her istemci bu değişiklikleri ancak yeni bir uygulama sürümüyle alır ^[5].

Telegram'ı hemen güncelleyemiyorsam ne yapmalıyım?

Düzeltilmiş sürümü henüz kuramıyorsanız tanımadığınız botlarla sohbet açmayın ve güncelleyene kadar yeni hiçbir bot başlatmayın ^[1][6]. Gram News, bir widget'ın kodu balonu ekranda görünür görünmez çalıştığı için uygulama güncellenene kadar tanınmayan botların widget gönderdiği sohbetlerden kaçınmayı öneriyor ^[1].

• Önce depolama alanını kontrol edin: Dolu bir telefon, güncellemenin sessizce başarısız olmasının en yaygın nedenidir. Yer açıp yeniden deneyin.
• Google Play telefonunuzda ya da ülkenizde kullanılamıyorsa bir yansı site yerine telegram.org'daki resmi APK'yı kullanın.
• Güncelleyemediğiniz ortak ya da iş bilgisayarında bunun yerine Telegram'ı güncel bir telefonda kullanın ve eski masaüstü oturumunu kapatın.
• Ayarlar'ı, ardından Cihazlar'ı açın ve tanımadığınız her oturumu sonlandırın. Bu motoru düzeltmez ama hesap başka bir yoldan zaten açığa çıktıysa zararı sınırlar.
• Güçlü bir parolayla iki adımlı doğrulamayı açın; böylece çalınan bir giriş kodu tek başına hesabı ele geçirmeye yetmez.

15 Kasım 2026 itibarıyla CryptoSlate, araştırmacıların gösterimlerinin çalınmış varlıkları ya da yaygın kötü niyetli istismarı kanıtlamadığını söylüyor; araştırmacılar da yayımladıkları hataların artık güncel derlemelerde düzeltilmiş eski derlemeleri etkilediğini belirtiyor ^[4][8]. Bu rahatlatıcı ama bir garanti değil, çünkü Telegram açığın düzeltmeden önce kullanılıp kullanılmadığını açıklamadı ^[7].

Hesabınızın ele geçirildiğini düşünüyorsanız Pouyam rehberi WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down'daki adımları izleyin. Hesabı güvenceye alırken bulut parolanızı unuttuysanız Forgot Your Telegram Two-Step Password? Recovery With or Without Email rehberine bakın.