Telegram'ın 10 Kasım 2026'da tanıttığı sohbet içi widget'larda, sohbet açıldığı anda kullanıcı dokunuşu gerektirmeden kod çalıştırılabilen bir güvenlik açığı gösterildi. Telegram sorunu sunucu tarafında kapatırken, kurucu Pavel Durov kimsenin yalnızca mesaj alarak hacklenemeyeceğini savundu ve herkese kendi hesabını hacklemeleri için meydan okudu.
Durov, 10 Kasım 2026 saat 13.37 UTC'de «artık her Telegram mesajı bir uygulamaya dönüşebilir» diyerek sohbet içi widget özelliğini duyurmuştu. CyberSIXT'in aktardığına göre mesajla anında inen ve 4 KB'tan küçük olan bu etkileşimli mini uygulamalar cihazda yerel olarak çiziliyor ve yerleşik ödeme özelliği taşıyor.
V12 gösterimi ve sunucu taraflı düzeltme
Duyurudan bir gün sonra, 11 Kasım 2026 saat 11.00 UTC'de kendisini «otonom yapay zekâ hacker» olarak tanımlayan güvenlik girişimi V12 bir video gösterimi yayımladı. Girişim, «Artık her Telegram mesajı RCE'ye (uzaktan kod çalıştırma) dönüşebilir» notuyla yaptığı paylaşımda teknik ayrıntı vermek yerine bir SHA-256 özeti paylaştı.
CyberSIXT'e göre gösterimden yaklaşık iki saat sonra Telegram, Android için Telegram uygulamasındaki sorunun bir gün önce düzeltildiğini ve yamanın aynı gün tüm kullanıcılara dağıtıldığını açıkladı. Crypto Briefing ise şirketin düzeltmeyi sunucu tarafında uyguladığını bildirdi.
QuickJS-ng motorundaki hata nasıl çalışıyor?
11 Kasım'da GitHub'da yayımlanan açık araştırma deposuna (davtur19/tg-widget-rce) göre widget mesajları HTML ve JavaScript taşıyor. Uygulama bu içeriği litehtml ile çiziyor ve sohbet açıldığında, ekrana dokunmaya gerek kalmadan gömülü JavaScript motoru QuickJS-ng içinde çalıştırıyor.
Araştırma deposundaki ana bulgu QuickJS-ng ayrıştırıcısındaki bir hataya dayanıyor. Özel hazırlanmış kısa bir JavaScript parçası, motorun kendi sınırlarının çok dışındaki bir değişken indeksini kullanmasına yol açıyor. Araştırmacı bu durumu önce bellek bozulmasına, ardından yerel kod çalıştırmaya dönüştürdü.
Araştırmacı Joel Eriksson, motorun ayrı bir korumalı alanda (sandbox) değil doğrudan Telegram sürecinin içinde çalıştığını belirtti. Eriksson'a göre motor açığını kullanan bir saldırgan bu nedenle uygulamanın kendi yetkilerini elde edebiliyor.
Açık araştırma belgelerine göre Android, iOS, Windows ve macOS uygulamalarının eski sürümleri olan Android 72889 ile 73039 arası derlemeler, iOS için Telegram 13.2, Telegram Desktop 7.4.0 ve macOS için Telegram 13.1 bu hatadan etkilendi. Depoda Android için beş ek motor hatası daha listeleniyor; tamamının güncel derlemelerde düzeltildiği belirtiliyor ve düzeltmeler Telegram'ın QuickJS çatalındaki commit kayıtlarına bağlanıyor.
Durov'dan meydan okuma ve Bot API koşulu
Pavel Durov, 13 Kasım 2026'da kendi Telegram kanalında yayımladığı ve 117 bin görüntülenmeye ulaşan paylaşımda şunları yazdı: «Yeni Telegram Android/Windows widget'larındaki iddia edilen RCE hakkında: Böyle bir sorun yok. Kimse yalnızca bir mesaj alarak hacklenemezdi. Önce bir üçüncü taraf hizmeti etkin olarak başlatmanız gerekiyordu. O da sunucu tarafında tamamen yamalandı. Aksini mi düşünüyorsunuz? Gidin hesabımı hackleyin.»
CyberSIXT'in aktardığı bilgiler ve açık araştırma deposu da mesaj iletim sınırı konusunda Durov'la tutarlı bir tablo çiziyor. Widget'lar yalnızca botlar tarafından Bot API üzerinden gönderilebiliyor ve bir bot, kendisini başlatmamış bir kullanıcıya mesaj gönderemiyor. Bu nedenle risk herhangi birinden mesaj almak değil, kötü niyetli bir botla sohbet açmaktı.
Crypto Briefing'e göre Telegram, açıkla bağlantılı doğrulanmış bir istismar ya da veri hırsızlığı olmadığını açıkladı. CyberSIXT ise şirketin sürüm numarası, CVE kaydı veya güvenlik bülteni yayımlamadığını ve açığın düzeltmeden önce kullanılıp kullanılmadığını paylaşmadığını aktardı. Uygulamanın istemci güvenliği geçmişini takip eden okurlar önceki Telegram Android sesli arama açığı haberini de inceleyebilir.
Ne yapmalı?
Telegram Türkiye'de de yaygın kullanılan mesajlaşma uygulamaları arasında bulunuyor; Türkiye'deki kullanıcıların durumuna ilişkin ise ayrı bir açıklama yer almıyor. CyberSIXT'in önerisi doğrultusunda kullanıcıların tüm Telegram uygulamalarını resmi mağazalardan güncellemesi ve tanımadıkları botları başlatmaması gerekiyor.
Kaynaklar
Kapak görseli: Pavel Durov, TechCrunch Disrupt SF 2015, TechCrunch (Steve Jennings/Getty Images for TechCrunch), Wikimedia Commons, CC BY 2.0 (16:9 kırpıldı, 1200x675).
Sık sorulan sorular
Telegram'da rastgele birinden gelen mesaj tek başına kod çalıştırabiliyor muydu?
Hayır. Widget'lar Bot API üzerinden yalnızca botlar tarafından gönderilebiliyor ve bir bot, kendisini başlatmamış bir kullanıcıya mesaj atamıyor. Risk, kötü niyetli bir botla sohbet açmaktan kaynaklanıyordu.
Telegram widget açığından hangi eski sürümler etkilendi?
Açık araştırma deposuna göre Android 72889 ile 73039 arası derlemeler, iOS için Telegram 13.2, Telegram Desktop 7.4.0 ve macOS için Telegram 13.1 sürümleri etkilendi. Depo, tüm hataların güncel derlemelerde giderildiğini belirtiyor.
Açığın saldırılarda kullanıldığına dair doğrulama var mı?
Telegram, açıkla bağlantılı doğrulanmış bir istismar veya veri hırsızlığı olmadığını bildirdi. Şirket olayla ilgili CVE, sürüm numarası ya da güvenlik bülteni yayımlamadı.
