Хочете будувати кар’єру в Data Science та AI? Vodafone Big Data Lab відкриває новий набір —>
Оксана СтепураГаряченьке
12 листопада 2026, 10:58
2026-11-12
У Telegram знайшли вразливість, яка дозволяла запускати сторонні програми через повідомлення. Чи могла вона спричинити хвилю зламів акаунтів навіть із «двофакторкою»?
У Telegram знайшли небезпечну помилку в новій функції, яка перетворює повідомлення на невеликі інтерактивні застосунки. Дослідники з кібербезпеки показали, як за допомогою такого повідомлення можна запустити сторонню програму на смартфоні. Утім, у Telegram заявили, що вже виправили вразливість і розгорнули оновлення для всіх користувачів.
У Telegram знайшли небезпечну помилку в новій функції, яка перетворює повідомлення на невеликі інтерактивні застосунки. Дослідники з кібербезпеки показали, як за допомогою такого повідомлення можна запустити сторонню програму на смартфоні. Утім, у Telegram заявили, що вже виправили вразливість і розгорнули оновлення для всіх користувачів.
Зміст
Фахівці з компанії V12 опублікували відео, на якому показали, як можна змусити Android-смартфон запустити сторонню програму через Telegram. На відео користувач відкриває чат із ботом і натискає кнопку Start Bot. Після цього з’являється інтерактивне повідомлення зі зворотним відліком. Коли час спливає, на телефоні відкривається калькулятор.
Тож ця функція дозволяла запускати код на чужих пристроях. Після публікації на демонстрацію відреагувала команда Telegram.
«Цю проблему в Telegram для Android виправили вчора, а сьогодні виправлення розгорнули для всіх користувачів», — повідомили розробники.
9-го листопада Telegram представив Bot API 10.4, який дозволив розробникам перетворювати звичайні повідомлення на невеликі інтерактивні застосунки. Тож тепер боти можуть надсилати, наприклад, маленьку гру, інтерактивне опитування чи картку товару.
Щоб сторонній код не отримав доступу до інших програм і системи смартфона, його запускають в ізольованому середовищі — так званій «пісочниці». Схоже, саме в цьому захисті й знайшли проблему.
Як саме могла працювати вразливість?
У відкритому репозиторії Telegram на GitHub є опис виправлення помилки в QuickJS — рушії, який виконує JavaScript-код нових інтерактивних повідомлень. Проблема стосувалася роботи з пам’яттю. За певних умов програма могла звернутися до ділянки пам’яті вже після того, як функція, якій вона належала, завершила роботу.
Така помилка могла порушити ізоляцію «пісочниці» та дозволити виконувати команди, які мікрододаток зазвичай не має права виконувати. Наприклад, запускати сторонні програми на смартфоні, як це продемонстрували дослідники з калькулятором.
Чи могли через це викрадати акаунти навіть із двофакторним захистом?
Раніше dev.ua писав про численні скарги українців на злами Telegram.
У Threads користувачі розповідали, що їх раптово викидало з месенджера на всіх пристроях, а деякі акаунти, якими люди користувалися роками, взагалі зникали. До того ж, деякі постраждалі стверджували, що вони не відкривали підозрілих посилань і навіть мали ввімкнений двофакторний захист.
Теоретично, якби зловмисникам вдалося використати вразливість для виконання коду з правами самого Telegram, вони потенційно могли б дістатися до даних, які месенджер використовує для підтримання авторизованої сесії.
Справа в тому, що після входу Telegram використовує спеціальні криптографічні ключі, щоб підтверджувати запити від імені користувача. Якщо зловмисник зможе викрасти необхідні дані авторизованої сесії та використати їх, йому не доведеться проходити звичайну процедуру входу з кодом підтвердження та додатковим паролем.
Тож навіть увімкнена двофакторна перевірка не обов’язково врятувала б акаунт від такого сценарію. Адже вона захищає нові входи, а не запобігає викраденню вже авторизованої сесії.
Утім, наразі немає підтверджень, що вразливість, яку продемонстрували V12, використовували для реальних зламів акаунтів або що вона пов’язана зі скаргами користувачів.
Як ламають відео-ігри та викладають їхні піратські копії? Розповідає програміст
Що, юний хакер, тобі цікаво, які ігри ще досі не крякнули? Тоді мерщій читай цю статтю. Нижче ми розглянемо, які технології використовуються для захисту ігор від злому. Також не пройдемо повз рекордсменів. Дізнаємося про рекордний час, за який вдалося зламати гру. Та розглянемо справжніх «міцних горішків».
Соціальні мережі та штучний інтелект формують глобальні наративи про війну в Україні. Як їх використовують українці та росіяни — аналітика від Foreign Policy
Напередодні вторгнення росії в Україну соціальні медіа слугували полем битви для держав і недержавних діячів, щоби поширювати конкуруючі наративи про війну та зображати поточний конфлікт у своїх власних інтересах. Видання Foreign Policy опублікувало великий аналітичний матеріал, як українці та росіяни використовують соціальні мережі, щоб давати інформацію про війну. Наводимо його адаптований переклад.
