HTML-виджеты, возможно, уже использовались в атаках

Лаборатория Касперского сообщила, что уязвимости в HTML-виджетах, предположительно, уже используются в реальных атаках: первые примеры были зафиксированы этой ночью.

Вредоносный код устанавливает ПО, которое даёт злоумышленникам удалённый доступ к компьютеру и, помимо прочего, крадёт данные аккаунтов Telegram и криптокошельков. Ранее Павел Дуров назвал обнаруженные уязвимости функции преувеличенными.

Режим карантина

В Beta-версии Telegram для macOS Telegram-канал telelakel обнаружил функцию Lockdown mode. Она позволит пользователям отключить или ограничить многие функции, которые могут использоваться для атак:

• Отключение автозагрузки медиа от незнакомцев
• Отключение Instant View и предпросмотра ссылок
• Предупреждения при открытии сайтов, Web-приложений, HTML-виджетов и некоторых видов файлов.

Возможности управлять разными ограничениями по отдельности, чтобы, например, отключить только HTML-виджеты, пока нет.

Состояние виджетов

Сейчас HTML-сообщения всё ещё отключены на сервере. Команда Telegram продолжает выпускать исправления безопасности для кода этой функции. Неизвестно, когда мессенджер планирует вернуть опасное нововведение.

Механизм полноценного или даже урезанного выполнения JavaScript-кода внутри клиентов Telegram с самого начала вызывал серьёзные вопросы. Несмотря на очевидные риски, эта функция всё же появилась в Beta-версиях приложений Telegram в конце октября 2026 года.

UPD. Kaspersky Lab отмечает, что уязвимость в виджетах — это пока лишь предположительная причина заражения.

#уязвимости