В Telegram обнаружили критические уязвимости в новых виджетах для ПК и Android

Варламов @varlamov_news Новости и СМИ13 ноября 2026, 17:34

Дуров прокомментировал сообщения об обнаружении уязвимости в новых HTML‑виджетах Telegram: «По поводу предполагаемой уязвимости удаленного выполнения кода (RCE) в новых виджетах TG для Android/Windows: Такой проблемы не существует. Никто не может быть взломан просто путем получения сообщения. Для этого необходимо было сначала активно запустить сторонний сервис. Даже это полностью исправлено на стороне сервера. Думаете иначе? Попробуйте взломать мой аккаунт: http://t.me/monk». Ранее исследователи безопасности из V12 продемонстрировали возможность удаленного выполнения кода через HTML‑виджеты в некоторых версиях Telegram. В демонстрациях V12 пользователь открывает чат с ботом, нажимает «Старт» и получает виджет, который без участия пользователя запустил на устройстве калькулятор. Демонстрация RCE через запуск калькулятора — общепринятый стандарт кибербезопасности. Если калькулятор открылся, значит, атакующий смог запустить на устройстве свою программу. Предполагается, что в таком случае атакующий сможет открыть и другие программы, а также скопировать файлы или украсть данные. На фоне этих публикаций некоторые HTML-сообщения (HTMLBubbles) в Telegram перестали работать. Дуров прокомментировал сообщения об обнаружении уязвимости в новых HTML‑виджетах Telegram: «По поводу предполагаемой уязвимости удаленного выполнения кода (RCE) в новых виджетах TG для Android/Windows: Такой проблемы не существует. Никто не может быть взломан просто путем получения сообщения. Для этого необходимо было сначала активно запустить сторонний сервис. Даже это полностью исправлено на стороне сервера. Думаете иначе? Попробуйте взломать мой аккаунт: http://t.me/monk». Ранее исследователи безопасности из V12 продемонстрировали возможность удаленного выполнения кода через HTML‑виджеты в некоторых версиях Telegram. В демонстрациях V12 пользователь открывает чат с ботом, нажимает «Старт» и получает виджет, который без участия пользователя запустил на устройстве калькулятор. Демонстрация RCE через запуск калькулятора — общепринятый стандарт кибербезопасности. Если калькулятор открылся, значит, атакующий смог запустить на устройстве свою программу. Предполагается, что в таком случае атакующий сможет открыть и другие программы, а также скопировать файлы или украсть данные. На фоне этих публикаций некоторые HTML-сообщения (HTMLBubbles) в Telegram перестали работать.