Telegram更新：如何安装小组件安全补丁

哪个Telegram版本修复了小组件漏洞？

小组件补丁包含在Telegram安卓版13.2.2及以上和Telegram Desktop 7.4.3及以上；在iPhone、iPad和Mac上，请从App Store或Mac App Store安装最新版本，因为官方没有公布确切的修复构建 ^[1][2]。这些版本号来自Telegram的开源代码和版本发布列表，由独立媒体解读，而不是来自Telegram的安全公告：Telegram并未发布任何公告 ^[2][7]。

漏洞出在QuickJS上，这是运行交互式小组件的小型JavaScript引擎，Telegram于2026年11月9日随Bot API 10.4将这些小组件提供给机器人 ^[9]。11月11日，安全公司V12发布了一段视频，其中一条小组件消息在Android手机上启动了计算器，这是外部代码正在设备上运行的常见迹象 ^[1]。Gram News将该报告与11月10日的一次QuickJS修复对应起来，该修复比Pavel Durov宣布向所有机器人开放小组件早21分钟，并称修复已随Telegram for Android 13.2.2（构建号7303）发布 ^[1]。

Telegram Desktop用了两次才修好。比对过各个构建的Neurocrat报道，11月11日的7.4.2版包含另外五项内存修复，却没有关键补丁，关键补丁直到7.4.3才到来 ^[2]。公开的版本列表显示，7.4.3发布于11月12日，7.4.4发布于11月13日，两者的说明都只有“Bug fixes and other minor improvements” ^[3]。

苹果设备的情况没那么清楚。研究人员的资料库把iOS版Telegram 13.2和macOS版Telegram 13.1列为受影响构建，并称已公开的漏洞在当前构建中均已修复 ^[8]。Neurocrat没有找到iPhone或Mac上包含补丁的构建号 ^[2]。实用的原则很简单：无论您使用哪种设备，都应安装最新的官方版本。

本指南是Pouyam指南Telegram Widgets Flaw: Is Telegram Safe and How to Update的分步续篇，后者解释了漏洞本身以及关于其危险程度的争议。

如何查看自己的Telegram版本？

在安卓设备上，版本号显示在Telegram设置页面的最底部；在其他设备上，可在应用设置或系统的应用信息中找到 ^[1]。请将其与下表对照。如果您的版本号低于表中所列，请先更新，再打开任何机器人聊天。

在Windows和Linux版Telegram Desktop中，打开“设置”，再进入“高级”：其中的版本与更新部分会显示已安装的版本，并可检查是否有新版本。在iPhone或iPad上，系统会在“设置”→“通用”→“iPhone储存空间”（或“iPad储存空间”）→Telegram中显示应用版本。在Mac上，打开应用菜单并选择“关于Telegram”。

有两个细节经常让人混淆。第一，在安卓上，构建号和版本号是两回事：Gram News给出的修复版本是13.2.2，括号中的构建号是7303 ^[1]。研究人员的资料库用更长的构建代码指代旧版安卓构建，例如72889、72929、73029和73039 ^[8]。第二，Mac上有两个Telegram应用：一个是Mac App Store中的macOS版Telegram，研究人员称其受影响的版本为13.1；另一个是Telegram Desktop，与Windows版是同一个应用，采用7.4.x编号 ^[3][8]。

即使手机会自动更新应用，也值得检查一下版本。存储空间不足、省电模式、按流量计费的网络或应用商店账号已退出，都可能让自动更新推迟好几天。

如何在安卓手机上更新Telegram？

请通过Google Play更新Telegram；如果您是从Telegram官网安装的，就从官网更新，然后确认显示的版本为13.2.2或更高 ^[1]。Telegram于2026年11月11日表示，安卓修复“已推送给所有用户”，因此应用商店里应该已经能看到更新 ^[10]。

1. 打开Google Play，点按您的头像，再点“管理应用和设备”，在可用更新中找到Telegram，点按“更新”。
2. 如果您是通过telegram.org上的APK安装的，请从同一官方网站下载最新APK并覆盖安装旧版本；聊天记录会保留。
3. 打开Telegram，进入“设置”，滑动到最底部查看版本号 ^[1]。
4. 重新启动一次应用，确保使用新的小组件引擎。

Gram News指出，widget-sandbox 0.6.4在11月10日稍晚发布的另外五项引擎修复，似乎并没有被纳入13.2.2本身 ^[1][5]。这正是不要停留在最低版本、而要持续更新的理由：每个更新的构建都可能包含更多Telegram公开更新日志中列出的引擎修复 ^[5]。

请远离APK下载站、修改版客户端以及非官方的“plus”或“gold”版本。它们并非按照Telegram的节奏、用Telegram当前代码构建，官方应用收到的修复可能很晚才到，甚至永远不会到。Pouyam指南Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks解释了为什么非官方版本本身就是安全风险。

如何在Windows和Linux上更新Telegram Desktop？

打开“设置”再进入“高级”，在版本与更新部分检查更新，或从telegram.org下载最新构建；您需要7.4.3或更高版本，截至2026年11月15日最新版本为7.4.4 ^[2][3]。电脑客户端的7.4.0版曾被研究人员列为受影响的客户端之一 ^[8]。

1. 在Telegram Desktop中打开菜单，然后进入“设置”和“高级”。
2. 如果自动更新处于关闭状态，请将其打开，然后选择检查更新。下载完成后，按提示重新启动Telegram。
3. 在同一部分再次核对版本号，应为7.4.3或更高 ^[3]。
4. 如果您是通过Microsoft Store、Linux软件包管理器、Flatpak或Snap安装的，请通过同一渠道更新；这些构建可能会比GitHub上的发布稍晚一些 ^[3]。

Windows用户本周还应多做一步。11月13日，V12的研究人员声称在他们所说的“已打补丁的Windows客户端”上找到了另一条代码执行途径，这一说法只出现在一条帖子中，在所查阅的来源里未发现独立证实 ^[11]。Telegram Desktop 7.4.4于11月13日晚些时候发布，没有详细的发布说明 ^[3]。在这个问题悬而未决期间，保持最新构建是普通用户唯一能采取的防护措施。

如果您在无法自行更新的工作电脑上使用Telegram，请让IT部门安装7.4.4或更高版本，在此之前不要在这台电脑上打开机器人聊天。

如何在iPhone、iPad和Mac上更新Telegram？

请从App Store或Mac App Store安装最新版Telegram；研究人员称，他们在iOS版Telegram 13.2和macOS版Telegram 13.1中发现的漏洞已在当前构建中修复，但没有公布确切的修复构建号 ^[2][8]。Telegram和独立报道都没有给出苹果设备的最低安全版本，CryptoSlate也指出，研究资料库并没有为每个客户端确定这样的版本 ^[2][4]。

1. iPhone和iPad：打开App Store，点按顶部的账户头像，滑动到更新列表，点按Telegram旁边的“更新”。为免日后重复操作，可在App Store设置中开启应用自动更新。
2. Mac上的macOS版Telegram：打开Mac App Store，选择“更新”，然后更新Telegram。
3. Mac上的Telegram Desktop：它与Windows版是同一个应用；请在“设置”→“高级”中更新，并确认显示7.4.3或更高 ^[3]。
4. 更新后，请完全关闭应用，再重新打开。

如果App Store显示Telegram已是最新，您就已经有了最新的公开构建。普通用户已无其他可安装的内容，剩下的防护在于使用习惯：不要启动您不认识的机器人 ^[6]。

需要更强防护的人，例如记者和社会活动人士，还应让iPhone的iOS保持最新。无论漏洞出现在哪款通讯应用里，操作系统更新都能限制应用漏洞可以触及的范围。

Telegram安卓版13.2.2有哪些变化？

除了修复引擎，Telegram安卓版13.2.2还把所有小组件代码移入一个独立、受严格限制的进程，这样即使将来出现同类漏洞，也只会落在无法访问您账号、聊天记录和密钥的地方 ^[1]。据Gram News报道，这次发布的提交涉及96个文件、约6,800行代码，其中大部分用于建立这道新边界 ^[1]。

根据Gram News对客户端代码文档的概述，名为:widgets的新进程负责运行小组件的JavaScript、校验器和渲染器 ^[1]。它没有安卓权限，没有网络，也无法访问应用的文件 ^[1]。Telegram主进程已完全不再加载引擎库，小组件进程返回的一切都被视为不可信并重新检查，例如每一次真实点按只允许打开一个链接 ^[1]。

其上还有一层名为seccomp的系统调用过滤器。目前它主要处于记录模式，只记录被禁止的调用而不拦截，但启动程序和创建新进程已经被拒绝 ^[1]。所有小组件由同一个进程提供服务，而不是每个机器人一个进程；Gram News称，为每个机器人单独设一个进程的方案被放弃，因为每个进程都将占用约25 MB内存 ^[1]。

这关系到版本号能为您提供多大保护。在这一变化之前，研究人员Joel Eriksson（乔尔·埃里克森）指出，引擎运行在Telegram进程内部，因此利用引擎漏洞即可获得应用自身的权限 ^[7]。研究人员的资料库显示，在部分旧版安卓构建上可实现应用级代码执行，而在72979和72989等较新构建上，结果被限制在隔离的小组件进程之内 ^[4]。简言之，新构建既消除了已公开的漏洞，也限制了新漏洞可能造成的损害。

修复之后，机器人还能发送小组件吗？

目前不能：2026年11月13日，Telegram Bot API代码库的一名贡献者确认，普通机器人即使在私聊中也不允许使用小组件 ^[4]。据CryptoSlate报道，此前一直在发送小组件的开发者开始收到INPUT_MEDIA_WIDGET_NOT_ALLOWED错误 ^[4]。

Telegram创始人Pavel Durov（帕维尔·杜罗夫）11月13日表示，“No one could be hacked just by receiving a message”（没有人会仅仅因为收到一条消息而被黑），用户“had to actively start a third-party service first”，而且“Even that is fully patched server-side” ^[6]。服务器端的限制与他的说法指向同一方向：据Durov称，该途径需要用户先启动一项第三方服务 ^[4][6]。

但这并不意味着可以不更新应用。CryptoSlate指出，这项限制没有说明已送达的小组件会如何显示、为何收紧权限，以及何时可能恢复 ^[4]。一旦小组件重新向机器人开放，只有更新后的应用才带有修复过的引擎。此外，小组件代码的作用不止于展示内容：根据Telegram公开的设计，小组件可以查询用户的TON钱包卡片，或请求钱包签名的数据，这也是保持客户端最新的又一理由 ^[4]。

共享的小组件代码也在不断变化。Telegram的widget-sandbox项目于11月10日发布0.6.4版，包含五项内存安全修复；又于11月12日发布0.6.5版，将小组件元素的嵌套深度上限设为1,024层 ^[5]。每个客户端只有在推出新版应用时才会纳入这些变化 ^[5]。

暂时无法更新Telegram怎么办？

如果您暂时无法安装修复版本，请不要打开与陌生机器人的聊天，在更新之前也不要启动任何新机器人 ^[1][6]。Gram News建议，在应用更新之前，避开陌生机器人发送小组件的聊天，因为小组件气泡一出现在屏幕上，其代码就会运行 ^[1]。

• 先检查存储空间：手机空间已满是更新悄无声息失败的最常见原因。清理空间后再试一次。
• 如果您的手机或所在国家无法使用Google Play，请使用telegram.org上的官方APK，而不是镜像网站。
• 在无法更新的共用电脑或工作电脑上，请改用已更新手机上的Telegram，并退出旧的电脑端会话。
• 打开“设置”→“设备”，结束所有您不认识的会话。这不能修复引擎，但如果账号已通过其他方式泄露，可以限制损失。
• 开启两步验证并设置强密码，这样仅凭被盗的登录验证码无法接管账号。

截至2026年11月15日，CryptoSlate称研究人员的演示既未证明有资产被盗，也未证明存在大范围恶意利用，研究人员也表示，他们公开的漏洞影响的是旧构建，现已在当前构建中修复 ^[4][8]。这令人安心，但并非保证，因为Telegram没有说明该漏洞在修复前是否曾被利用 ^[7]。

如果您认为自己的账号已被盗，请按照Pouyam指南WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down中的步骤操作。如果您在保护账号时忘记了云密码，请参阅Forgot Your Telegram Two-Step Password? Recovery With or Without Email。