Telegram исправил уязвимость в новых интерактивных виджетах для Android, через которую скрипт из сообщения мог выйти из изолированной среды и запустить стороннюю программу. Исследователи V12 продемонстрировали проблему 11 ноября 2026 года, а Telegram в тот же день сообщил, что развернул исправление для всех пользователей.
В демонстрации пользователь открывал чат с ботом и нажимал кнопку запуска. После появления виджета с обратным отсчётом на смартфоне открывался калькулятор. Такой приём специалисты по безопасности используют, чтобы показать выполнение постороннего кода на устройстве. При этом V12 не опубликовала технический разбор и не уточнила, потребовалось бы нажатие для атаки за пределами показанного сценария.
Проблема затрагивала Telegram для Android 13.2.1. По данным Gramnews, исправление вошло в версию 13.2.2 с номером сборки 7303. Владельцам Android, особенно использующим приложение из стороннего магазина или APK-файл, стоит проверить номер версии внизу экрана настроек и установить 13.2.2 или более новую сборку. Официальная страница приложения доступна в Google Play.
Читайте также
Причиной была ошибка управления памятью в QuickJS — движке, который исполняет JavaScript внутри виджетов. Недопустимая конструкция await using могла оставить ссылку на область стека после возврата функции, позволив коду виджета выйти из песочницы и выполнить нативный код. Исправление состоит из двух частей: парсер теперь отклоняет эту конструкцию вне асинхронной функции, а движок не позволяет обычной функции перейти в режим приостановки. Кроме того, Telegram 13.2.2 обрабатывает виджеты в отдельном процессе без разрешений Android и доступа к сети, файлам приложения, сообщениям и ключам аккаунта; запуск программ и создание новых процессов запрещены.
Интерактивные HTML-виджеты появились в Bot API 10.4, представленном 9 ноября. Они позволяют ботам размещать внутри сообщений игры, опросы, товарные карточки и другие динамические элементы. В производственной среде Telegram разрешил отправлять такие виджеты только в личные чаты и запретил пересылать содержащие их сообщения.
Публично показана эксплуатация только Telegram для Android. Документация движка указывает, что сама ошибка могла быть достижима на любой платформе, где использовалась уязвимая сборка QuickJS, но подтверждённой демонстрации запуска кода на iOS или компьютере нет. Также нет доказательств, что дыру применяли в реальных атаках, для кражи аккаунтов или обхода двухфакторной аутентификации.