HTML 小部件可能被用于攻击
卡巴斯基实验室称，根据其初步分析，HTML 小部件中的漏洞可能已经在野外被利用，首次攻击在一夜之间记录下来。
恶意代码安装软件，使攻击者能够远程访问受害者的计算机，并且还会窃取 Telegram 账户和加密钱包中的数据。此前，帕维尔·杜罗夫对该功能中发现的漏洞进行了夸大其词的驳斥。
锁定模式
在 macOS 版 Telegram 的 Beta 版本中，telelakel Telegram 频道发现了锁定模式功能。它将允许用户禁用或限制可能在攻击中被利用的多个功能：
• 禁用陌生人自动下载媒体
• 禁用即时浏览和链接预览
• 在打开网站、Mini Apps、HTML 小部件和某些文件类型之前显示警告
目前没有单独管理这些限制的选项——例如，如果您只想禁用 HTML 小部件，但保留其他功能。
当前小部件状态
HTML 消息在服务器端仍然被禁用。Telegram 团队继续为该功能的代码推出安全补丁。目前尚不清楚该消息应用何时计划恢复此风险功能。
在 Telegram 客户端内部允许完整甚至受限的 JavaScript 执行，从一开始就引发了严重的安全担忧。尽管风险显而易见，该功能仍在 2026 年 10 月下旬的 Beta 版 Telegram 应用中推出。
#vulnerabilities