«Попробуйте взломать мой аккаунт»: Дуров* заявил, что проблемы с уязвимостью виджетов Telegram не существует

В ноябре 2026 года исследователи информационной безопасности заявили об обнаружении критической уязвимости удаленного выполнения кода (RCE) в новых HTML-виджетах Telegram. Брешь позволяет злоумышленникам обойти программную песочницу и получить контроль над клиентом мессенджера с правами, которыми приложение обладает в операционной системе.

Механика и суть проблемы

• Причина уязвимости. Telegram добавил поддержку интерактивных HTML-виджетов для ботов, код которых исполняется локально на движке JavaScript QuickJS. Ошибка в архитектуре позволила скриптам выходить за пределы изолированной среды. [

• Демонстрация атаки. Специалисты из команды V12 опубликовали видеодоказательство, где запуск бота с виджетом на смартфоне привел к самостоятельному открытию системного приложения «Калькулятор». В сфере кибербезопасности это служит стандартным подтверждением успешного выполнения произвольного кода на устройстве.

• Оценка экспертов. Представители компании Nebula Security и специалист Джоэл Эрикссон раскритиковали реализацию песочницы QuickJS. По их мнению, сам дизайн запуска JavaScript внутри нативных сообщений сильно расширяет поверхность атаки, поэтому точечные патчи не решат проблему системно.

Ситуация на разных платформах

• Android. Команда Telegram заявила об устранении проблемы 10–11 ноября. Как сообщается, брешь закрыта и изоляция виджетов усилена начиная с версии 13.2.2 (7303).

• Windows. 13 ноября исследователи V12 продемонстрировали, что RCE-атака все еще срабатывает на десктопной версии для Windows (вероятно, 7.4.3), несмотря на заявленные исправления. Независимые разработчики на GitHub также подтвердили успешную эксплуатацию на версии 7.4.2.

• iOS. По данным экспертов, на вечер 12 ноября в актуальных сборках для iOS проблема оставалась нерешенной. Ожидается, что патч может войти в обновление 13.2.1.

Комментарий Павла Дурова

Вечером в пятницу сооснователь мессенджера Павел Дуров заявил в своем канале: «Исправлена ошибка RCE в новых виджетах TG для Android /Windows. Проблемы не существует».

По его словам, «никто не может быть взломан просто путем получения сообщения — для этого необходимо было сначала активно запустить сторонний сервис». Дуров, впрочем, добавил, что «даже это полностью исправлено на стороне сервера».

«Думаете иначе — попробуйте взломать мой аккаунт», — предложил Дуров.

* Числится в списке террористов и экстремистов Росфинмониторинга.