Telegram отключил интерактивные HTML-виджеты в чатах — профильные каналы связывают это с публикациями об уязвимостях
Сам мессенджер решение не комментировал.
Пример удалённого запуска кода через виджет. Источник: @v12sec
- На то, что HTML-сообщения перестали работать, обратили внимание TeleLakel и Telegram Info. На тестовом сервере они всё ещё доступны. Функцию добавили в стабильную версию Telegram в начале ноября 2026 года.
- В Telegram Info предполагают, что причина — «многочисленные уязвимости, которые исследователи и сообщество обнаружили в течение последних нескольких дней».
Несмотря на внушительный список ограничений, у редакции Telegram Info есть серьёзные опасения насчёт безопасности нововведения. Интеграция веб-движков с поддержкой исполнения JavaScript, даже сильно урезанного, непосредственно в интерфейс переписки — это огромный риск.
Практика показывает, что как бы разработчики ни изолировали среду, в системах рендеринга регулярно находят уязвимости. Риск исполнения вредоносного кода просто при просмотре чата вызывает большие вопросы к целесообразности таких виджетов.
- Одну из возможностей взлома показали исследователи проекта V12, о чём писал «Код.ру». В их ролике пользователь Android открывает чат с ботом, нажимает на «Старт» и получает виджет, который без участия этого пользователя запускает на устройстве калькулятор.
- После публикаций о внезапном отключении виджетов Павел Дуров* написал, что уязвимости, позволяющая удалённо запускать код, «не существует». По словам основателя мессенджера, нельзя взломать пользователя, просто отправив ему сообщение. Тот должен был бы собственноручно запустить сторонний сервис.
*Дуров включён в список террористов и экстремистов Росфинмониторинга.