Telegram Güncelleme: Widget Açığı ve Güvenlik Önlemleri

Telegram widget açığı nedir?

Telegram widget açığı, Telegram'ın yeni etkileşimli mesaj widget'larını çalıştıran motordaki bir dizi hatadır; araştırmacılara göre bu hatalar eski uygulama sürümlerinde kullanıcının cihazında kod çalıştırılmasına izin veriyordu ^[7]. Telegram, widget'ları 9 Kasım 2026'da Bot API 10.4 ile tanıttı ^[1]. Telegram'ın kurucusu Pavel Durov ertesi gün widget'ları “Her Telegram mesajı artık bir uygulamaya dönüşebilir” cümlesiyle duyurdu ve widget'ları etkileşimli, yerel olarak çizilen ve 4 KB'tan küçük öğeler olarak tanımladı ^[2].

Widget, bir mesajın içinde gönderilen küçük bir programdır. Telegram uygulamaları bunu çalıştırmak için QuickJS adlı kompakt bir JavaScript motoru içerir ^[7][8]. Dışarıdan gelen kodu çalıştıran her motor bir hedeftir, çünkü motordaki bir hata, özel hazırlanmış bir programın içinde kalması gereken kutudan kaçmasına yol açabilir.

V12 adlı güvenlik araştırmacıları 11 Kasım'da, uzaktan kod çalıştırma (RCE) anlamına gelen “Any telegram message can now become RCE” başlıklı bir paylaşım yaptı; bir kriptografik özet ve bir gösterim videosu da ekledi ^[3]. Araştırmacı davtur19'un kamuya açık yazısı, QuickJS-ng içindeki bir ayrıştırıcı hatasını ve Android'deki birkaç motor hatasını anlattı; ana hatayı 9,6 ve 8,8 CVSS önem puanlarıyla listeledi ^[7].

Aşağıda sıradan kullanıcılar için risk ve yapılması gerekenler yer alıyor. Saldırının nasıl yeniden üretileceğine dair hiçbir ayrıntı verilmiyor.

Hangi Telegram uygulamaları ve sürümleri etkilendi?

Araştırmacının yazısına göre etkilenen sürümler Android için 72889, 72929, 73029 ve 73039 numaralı Telegram sürümleri, iOS için Telegram 13.2, Telegram Desktop 7.4.0 ve macOS için Telegram 13.1 idi; hepsinin yerini artık yenileri aldı ^[7]. Aynı yazı, listelediği tüm sorunların güncel sürümlerde giderildiğini ve düzeltmelerin Telegram'ın kendi QuickJS çatalında yapıldığını söylüyor ^[7].

Ortak widget kodunu barındıran Telegram'ın widget-sandbox projesi düzeltmelerini herkese açık biçimde kaydediyor. 10 Kasım tarihli 0.6.4 sürümü, bellek serbest bırakıldıktan sonra kullanma (use-after-free) ve sınır dışı erişim türünde beş düzeltme listeliyor; kapattığı hatalardan birinin, bir widget'ın betiği üzerinden yerel kod çalıştırma olarak Telegram Android 13.2.1 için bildirildiğini belirtiyor ^[8]. 12 Kasım tarihli 0.6.5 sürümü ise bir widget'ın öğelerinin ne kadar derin iç içe geçebileceğine 1.024 düzeylik bir sınır getiriyor ^[8].

Telegram Desktop için herkese açık sürüm listesi hızlı güncellemelerden oluşan bir dizi gösteriyor: botlarda HTML widget'larını ekleyen 5 Kasım tarihli 7.4.0, ardından 7.4.1, 12 Kasım'da 7.4.2 ve 7.4.3, 13 Kasım'da 7.4.4 ^[9]. Aşağıdaki tablo kamuya açık durumu özetliyor.

Telegram şu an güvenli mi?

Araştırmacıların yayımladığı hatalar güncel sürümlerde giderildi, ancak 13 Kasım'da masaüstü uygulamasına ilişkin yeni bir iddia çözülmedi; bu yüzden makul yol, her Telegram uygulamasını güncel tutmak ve tanımadığınız botlardan kaçınmaktır ^[5][7]. Araştırmacıların yayımladığı hatalar güncel sürümlerde düzeltildi, Telegram Android düzeltmesinin 11 Kasım'da tüm kullanıcılara ulaştığını söylüyor ve 13 Kasım 2026 itibarıyla sıradan kullanıcılara yönelik hiçbir saldırı kamuya bildirilmedi ^[4][7][10].

Uyarı araştırmacılardan geliyor. V12, 13 Kasım tarihli paylaşımında “mesajlarda (sandbox'sız!) QuickJS'e izin vermek saldırı yüzeyini büyük ölçüde genişletiyor” diyerek ilk hatalar giderilse bile yeni hataların bulunabileceğini savundu ^[5]. CyberSIXT, araştırmacı Joel Eriksson'ın motorun Telegram sürecinin içinde çalıştığına dikkat çektiğini aktardı ^[10]. Telegram, düzeltmeler için bir güvenlik duyurusu ya da CVE numarası yayımlamadı ^[10]. Rus haber sitesi Kod.ru 13 Kasım'da, Gram News'a dayanarak, Telegram'ın sunucu tarafında tüm botlar için HTML widget gönderimini kapattığını, daha önce iletilen widget'ların ise çalışmaya devam ettiğini bildirdi; Telegram'ın kendi doğrulaması bulunamadı ^[11].

Gazeteciler, aktivistler ve telefonu hedef alınabilecek herkes gibi daha yüksek risk altındaki kişiler için çıta daha yüksek. Bu hafta Telegram'ı her gün güncelleyin, tanımadığınız botlardan tamamen uzak durun ve hassas konuşmaları varsayılan olarak uçtan uca şifrelemesi açık bir uygulamaya taşımayı düşünün. Pouyam rehberi İran'da Özel Sohbetler İçin Telegram mı WhatsApp mı? Şifreleme ve Resmi Olmayan Uygulama Riskleri seçenekleri karşılaştırıyor.

Durov ve araştırmacılar neyde anlaşamıyor?

Temel tartışma, bir kullanıcıya yalnızca bir mesaj alarak saldırılıp saldırılamayacağı ve Windows uygulamasının ilk düzeltmelerden sonra da açıkta kalıp kalmadığı; her iki nokta da 13 Kasım 2026 itibarıyla tartışmalı ^[5][6][7].

Durov'un 13 Kasım'da paylaştığı görüş: “Sorun yok. Kimse yalnızca bir mesaj alarak hacklenemezdi. Önce 3. taraf bir hizmeti başlatmanız gerekiyordu. Onu bile sunucu tarafında tamamen yamaladık.” ^[6] Durov ayrıca insanları kendi hesabını hacklemeyi denemeye davet etti ^[6].

Araştırmacıların görüşü: davtur19 yazısı, widget'ların mesaj ekranda yerleştirildiğinde, dokunmaya gerek kalmadan çalıştığını söylüyor ^[7]. V12, 13 Kasım'da “yamalı” Windows istemcisinde çalıştığını belirttiği ikinci bir gösterim paylaştı ^[5].

İki açıklama kısmen birbiriyle uyuşabilir. Telegram'ın Bot API belgeleri, üretim ortamında widget'ların yalnızca özel sohbetlere gönderilebildiğini söylüyor ^[1]; CyberSIXT ise botların kendilerini başlatmamış kullanıcılara mesaj gönderemediğini belirtiyor ^[10]. V12'nin gösterimlerine ilişkin basın haberleri, kullanıcının önce botun sohbetini açıp Başlat'a bastığını söylüyor ^[11][12]. Yani gösterilen yol, kullanıcının başlattığı bir bottu; yazı ise bir widget geldiğinde ek bir dokunuşa gerek kalmadan çalıştığını söylüyor ^[7]. Bunun “sıfır tıklama” sayılıp sayılmayacağı tartışmanın konusu. Masaüstü istemcisine ilişkin 13 Kasım iddiası bağımsız olarak doğrulanmadı; bu nedenle burada bir iddia olarak aktarılıyor.

Telegram Android, iPhone ve PC'de nasıl güncellenir?

Kullandığınız her cihazda resmi mağazadan ya da telegram.org'dan en son Telegram sürümünü yükleyin, ardından uygulamayı yeniden başlatın ^[7][9]. Her uygulama kendi başına güncellenir; bu yüzden düzeltilmiş bir telefon, aynı hesaptaki eski bir masaüstü uygulamasını korumaz.

1. Android: Google Play'i açın, Telegram'ı arayın ve Güncelle'ye dokunun. Telegram'ı kendi sitesinden yüklediyseniz en yeni sürümü aynı resmi siteden indirin.
2. iPhone ve iPad: App Store'u açın, hesap sayfanıza gidip Telegram'ı güncelleyin ya da otomatik uygulama güncellemelerini açın.
3. Windows ve Linux (Telegram Desktop): Ayarlar'daki güncelleme denetimini kullanın ya da en yeni sürümü telegram.org'dan indirin; 13 Kasım 2026 itibarıyla herkese açık en yeni sürüm 7.4.4 ^[9].
4. macOS: Telegram'ı nereden yüklediğinize bağlı olarak Mac App Store'dan ya da uygulamanın içinden güncelleyin.
5. Telegram Web: tarayıcının en son kodu yüklemesi için sayfayı yeniden yükleyin.

Güncelledikten sonra Ayarlar'da Cihazlar (ya da Etkin Oturumlar) bölümünü açın ve tanımadığınız her oturumu sonlandırın. Bu adım widget hatalarını düzeltmez, ama başka bir şey ters gittiyse kapıları kapatır.

Kötü amaçlı Telegram botlarından ve widget'larından nasıl korunurum?

Tanımadığınız botları başlatmayın; beklenmedik etkileşimli içerik gönderen her botu silin ve engelleyin ^[10]. Üretim ortamında widget'lar yalnızca özel sohbetlere gönderilebiliyor ^[1] ve V12 gösterimine ilişkin basın haberleri kullanıcının botu önce başlattığını söylüyor ^[11][12]; bu yüzden Başlat düğmesine temkinli yaklaşmak, gösterilen yolu ortadan kaldırır.

• Yalnızca güvendiğiniz botları başlatın: zaten kullandığınız bir hizmete ait, o hizmetin resmi sitesinden bağlantısı verilen botlar.
• Ücretsiz Telegram Premium, kripto airdrop'ları, hediyeler ya da “doğrulama” vaat eden bağlantılara karşı dikkatli olun. Birini bir bota yönlendirmenin olağan yemleri bunlardır.
• Değiştirilmiş ya da resmi olmayan Telegram uygulamaları yüklemeyin. Resmi güvenlik düzeltmelerinin gerisinde kalabilirler.
• Güçlü bir parolayla iki adımlı doğrulamayı açın; böylece çalınmış bir oturum ya da tek başına bir SMS kodu hesabınızı ele geçirmeye yetmez.
• Telefonunuzun işletim sistemini güncel tutun; bir uygulama hatasının erişebileceği alanı sınırlar.

Hesabınızın zaten ele geçirildiğini düşünüyorsanız Pouyam rehberi WhatsApp veya Telegram Hesabı Çalındı mı? Geri Alma ve Koruma Adımları'ndaki adımları izleyin.

Telegram widget'larında yeni hatalar çıkacak mı?

Widget motoru yeni, herkese açık ve artık araştırmacıların yakın ilgisi altında olduğu için yeni hataların bildirilmesi muhtemel ^[5][8]. Telegram'ın widget-sandbox projesi 9 ile 12 Kasım arasında dört sürüm yayımladı; bunlardan ikisi QuickJS motoruna yönelik güvenlik ya da sağlamlaştırma düzeltmesi olarak etiketlendi ^[8]; masaüstü uygulaması da sekiz günde dört güncelleme aldı ^[9].

İzlenecek işaretler: resmi bir Telegram güvenlik duyurusu, QuickJS hataları için CVE numaraları, 13 Kasım tarihli Windows iddiasının bağımsız bir doğrulaması ya da çürütülmesi ve widget'ların gerçek kullanıcılara karşı kötüye kullanıldığına dair herhangi bir rapor ^[5][10]. O zamana kadar en güvenli yaklaşım, tanımadığınız botlardan gelen widget'lara güvenilmeyen kod gibi davranmaktır; çünkü gerçekte öyledirler.