Telegram Info

Больше возможностей HTML-сообщений в Telegram В новых Beta-версиях Telegram для Android и iOS под номером 13.2 продолжается развитие HTMLBubbles — технологии интерактивных сообщений на основе HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без запуска Mini App. Ранее редакция @tginfo уже рассказывала о появлении таких сообщений. С тех пор их возможности значительно расширились: виджеты научились взаимодействовать с ботами, получать обновления с сервера и сохранять собственное состояние. Что уже реализовано? • Интерактивные игры. В сообщениях можно запускать полноценные небольшие игры с анимациями, управлением касаниями и сохранением прогресса. Редакции удалось протестировать несколько собственных игр, включая шутер с псевдотрёхмерной графикой. • Взаимодействие с ботами. Виджеты могут отправлять запросы своему боту и получать ответы. Например, пользователь голосует в интерактивном опросе, а бот обрабатывает его выбор и возвращает обновлённые результаты. • Общие данные и обновления. Содержимое сообщения может меняться без его повторной отправки или редактирования. В тестах удалось подтвердить синхронизацию результатов голосования и обновляемого графика между пересланными копиями виджета. При этом обновления могут отображаться с задержкой в несколько секунд. • Локальное хранилище. HTMLBubbles способны сохранять данные между запусками Telegram. Проверки показали, что состояние разных сообщений и аккаунтов не смешивается даже при использовании одного устройства. • Inline-режим. На тестовом сервере уже можно выбирать интерактивные виджеты с помощью inline-запроса и отправлять их непосредственно в переписку. Однако часть серверных действий в таком режиме пока завершается ошибкой. • Дополнительные возможности. Виджеты поддерживают копирование текста, переходы по Telegram-ссылкам и получение сведений о контексте сообщения. Также предусмотрены механизмы фоновых запросов к боту и адаптации интерфейса. Интеграция с криптокошельком В новой Beta-версии Telegram для Android 13.2 (7278) обнаружена поддержка взаимодействия HTMLBubbles с TON-кошельком. В JavaScript API появились методы для запроса отправки транзакций и криптографической подписи данных. Такие операции предполагают подтверждение со стороны пользователя и не предоставляют виджету неограниченный доступ к кошельку. Это потенциально позволит создавать интерактивные карточки с финансовыми действиями непосредственно внутри сообщений. Напомним, что ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке. Когда функция станет доступна всем? HTMLBubbles по-прежнему находится на стадии тестирования. Отображение интерактивных сообщений уже работает в Beta-версиях Telegram для Android и iOS, однако отдельные серверные функции ещё работают нестабильно. #Android #iOS #Beta

Исследователь обошёл серверную проверку стикеров в Telegram для zero-click взлома iOS — тем временем мессенджер заменил уязвимую библиотеку UPD 29.10.26. Автор исследователя подтвердил, что Telegram устранил проблему переходом на библиотеку tlottie. Пользователи последних версий официальных приложений Telegram защищены. Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад на конференции OffensiveCon — на протяжении года исследователь изучал безопасность стикеров Telegram. Совсем недавно Telegram переделал библиотеку стикеров, поэтому без подробностей непонятно, исправили ли обновления анонсированные уязвимости. Прямой угрозы пользователям Telegram на актуальных версиях официальных приложений сейчас скорее всего нет. Что именно обнаружил исследователь? • С помощью автоматической переборки (fuzzing) под управлением ИИ, в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров, было найдено несколько уязвимостей. В Telegram для iOS это даёт возможность исполнять код на устройстве жертвы. • Telegram рассчитывает на то, что серверная проверка отсечёт вредоносные файлы. • Исследователь нашёл логические ошибки в доставке и проверке стикеров. С их помощью он обошёл защитные механизмы. • По словам автора, даже после получения отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код рендеринга по-прежнему остаётся в официальных клиентах. Telegram сменил библиотеку для стикеров Пока шло исследование, Telegram изменил подход. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, портированную на Rust. Она уже используется в Telegram Desktop, macOS, Android; с сентября она стала использоваться и в Telegram для iOS. Библиотека tlottie закрывает целый класс ошибок памяти, на которых годами строились атаки через стикеры. По мнению редакции, обновляя библиотеку в клиентских приложениях, администрация мессенджера демонстрирует, что в вопросах безопасности не полагается на одни лишь серверные проверки. Актуальны ли находки сейчас? • Материалы доклада пока не опубликованы онлайн. На каких версиях проверялась цепочка и в чём именно суть уязвимостей, станет известно позже. • Исследование шло год, а в анонсе речь идёт именно об rlottie. Поэтому есть основания сомневаться, что проблема осталась на актуальных версиях, но исключать этого всё же нельзя. Кроме того, логические ошибки в доставке и проверке стикеров от библиотеки рендеринга не зависят. • Rust — не гарантия. Независимых аудитов и публичного анализа tlottie пока нет, поэтому продемонстрировать своё качество библиотека сможет только со временем. Системная проблема История с уязвимостями в стикерах существует уже много лет. Ещё в 2020 году специалисты Shielder нашли в rlottie 13 багов, позволявших удалённо повреждать память устройства. Telegram тогда лишь точечно закрыл конкретные ошибки. При этом компания публично отрицала риски. В 2025 году брокер Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а представитель Telegram утверждал в комментарии Forbes, что мессенджер «никогда не был уязвим для zero-click эксплойтов». В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram. Пресс-служба мессенджера заявила «Коду Дурова», что «наличие такого эксплойта невозможно», поскольку все стикеры проверяются серверами. Редакция @tginfo тогда же указывала, что серверная валидация — лишь один из слоёв защиты, который может содержать ошибки, с чем согласен и вывод нового исследования. В октябре ZDI опубликовал полные подробности об уязвимости, пометив её незакрытой. В своём анонсе Сайфелдин Азиз ставит под сомнение подход Telegram к обеспечению безопасности, а также спекулирует на тему того, что такие уязвимости могут использоваться для создания бекдоров. По мнению редакции @tginfo, переход на tlottie — первый за много лет шаг к решению проблемы, а не очередная заплатка. Telegram зачастую агрессивно отрицает вероятность любых уязвимостей или замалчивает проблемы. Редакция @tginfo отмечает, что доверие создают не такие декларации, а открытое признание проблем и независимая проверка кода. #уязвимости

Интерактивные HTML-сообщения заработали в Android-приложении В Beta-версии Telegram для Android под номером 13.2 удалось проверить работу экспериментальной технологии HTMLBubbles. Она позволяет создавать интерактивные сообщения с использованием HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без открытия отдельного Mini App. Для проверки редакция @tginfo создала собственный HTML-виджет. В нём удалось подтвердить выполнение JavaScript и базовых функций обычных веб-сайтов. Аналогичные компоненты обнаружены и в Beta-версии Telegram для iOS под номером 13.2, где также появились встроенные инструменты тестирования виджетов. Вопросы безопасности В настройках протестированных Beta-версий пока не обнаружено отдельного переключателя для отключения HTMLBubbles. Ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке. Напомним, что недавно в Telegram Desktop была обнаружена уязвимость CVE-2026-107181, позволявшая похищать файлы через специально подготовленные ссылки. Несмотря на то, что эта уязвимость не связана с HTMLBubbles, появление нового механизма исполнения кода внутри сообщений может привести к возникновению гораздо более серьёзных уязвимостей, которые для активации не требуют действия со стороны пользователя (zero-click). Когда функция станет доступна всем? Сейчас HTMLBubbles остаётся экспериментальной технологией. Возможность отправлять такие сообщения ограничена, а публичный API для разработчиков пока не представлен. #Android #iOS #Beta

Telegram для Android, iOS и macOS обновились до версии 13.1, а Telegram Desktop — до версии 7.3.2 Октябрьское обновление мессенджера принесло новые возможности, связанные с оформлением Gram Wallet, персонализацией профиля и управлением подарками. • Оформление карты Gram Wallet: Пользователи получили возможность украшать карту своего криптокошелька коллекционными подарками. Их можно размещать в виде наклеек, а также использовать для оформления фона. При этом в качестве фона доступны только подарки из коллекций Plush Pepe и Resistance Dog. • Баланс Gram Wallet в профиле: В профилях пользователей появилась карта криптокошелька с отображением баланса. Другие пользователи могут нажать на неё, чтобы посмотреть выбранное оформление. Баланс отображается только при наличии 0,01 Gram в кошельке. Если средств меньше, то он будет скрыт из профиля. • Персонализация QR-кодов: Telegram обновил редактор QR-кодов профиля, добавив возможность изменять фон, украшать его эмодзи и применять оформление коллекционных подарков. Выбранный дизайн будет виден и другим пользователям. Большинство новых настроек доступно только подписчикам Telegram Premium, тогда как изменение цвета остаётся бесплатным. • Ссылки для бесплатных сообщений: Пользователи, включившие плату за входящие сообщения, теперь могут создавать специальные ссылки, позволяющие другим людям писать им бесплатно. При необходимости предоставленное конкретному пользователю право на бесплатную отправку сообщений можно отозвать. • Упрощённый перенос NFT-подарков: При отправке подарка появилась опция для переноса его в собственный кошелёк в блокчейне TON без необходимости использовать Fragment. • Удаление неуникальных подарков: Появилась возможность удалять подарки с неограниченным тиражом. Прочие нововведения • Добавлена поддержка цитирования расширенных сообщений (Rich Messages). Ранее цитировать можно было только обычные сообщения. • Telegram Desktop для Windows перешёл на Qt 6 — новую основную версию кроссплатформенного фреймворка, на котором построен интерфейс приложения. Скачать обновление • Android: Google Play, APK с официального сайта или верифицированного канала. • iOS: App Store. • Windows / macOS / Linux: официальный сайт или GitHub. • Windows: Microsoft Store. • Linux: Flathub, Snapcraft. • macOS: App Store или с верифицированного канала. #обновление #Android #iOS #Desktop #macOS

Обман при продаже подарка В последние дни участились случаи обмана пользователей, владеющих подарками. Схема мошенничества Пользователь получает сообщение в личном чате, похожее на официальное предложение купить его подарок. В этом сообщении злоумышленник предлагает жертве нажать кнопку для передачи подарка покупателю и обещает, что сразу после этого жертва получит вознаграждение в виде звёзд. Однако на самом деле кнопка содержит ссылку для безвозмездной передачи подарка другому пользователю. Как проверить предложение покупки? Вот как можно отличить настоящее предложение покупки подарка от мошеннического: • Настоящее предложение отображается в середине экрана, а мошенническое – слева (там же, где и остальные сообщения собеседника). • Настоящее предложение содержит небольшое изображение подарка, который у вас хотят купить, текст "Пользователь предлагает вам xxx ⭐️ за <название_подарка_с_номером>", время действия предложения и кнопки "Отклонить" и "Принять". Содержание мошеннического сообщения может отличаться. • Если изменить язык интерфейса приложения на английский, то текст настоящего предложения начнёт отображаться также на английском языке. Язык мошеннического сообщения не изменится. • Если нажать и подержать кнопку "Принять" в настоящем сообщении, ничего не произойдет. Если же сделать то же самое на кнопке в мошенническом сообщении, приложение Telegram покажет ссылку, скрытую в этой кнопке: как правило, эта ссылка начинается с tg://send_gift. Будьте внимательны, получая предложения о покупке подарков: тщательно проверяйте их, чтобы не лишиться своих подарков. Как обезопасить себя от риска? Если подарок скрыт в вашем профиле, то никто не сможет отправить вам официальное предложение о его покупке. Чтобы скрыть подарок из профиля, откройте список своих подарков, нажмите на нужный подарок, а потом - на кнопку «Скрыть». Что делать, если уже передал подарок? 1. Вернуть подарок не получится. Вы не сможете доказать поддержке Telegram, что вас ввели в заблуждение. Предоставлять ей скриншоты бесполезно: они могут быть «нарисованы», а доступа к личным чатам у модераторов Telegram нет. 2. В Telegram можно пожаловаться на мошенников: см. раздел №1.2 нашей статьи «Как обратиться в Telegram?». Но, к сожалению, одной жалобы обычно недостаточно, чтобы модераторы Telegram заблокировали аккаунт мошенника. Кроме того, у мошенников обычно есть много запасных аккаунтов. #безопасность

В Telegram появились ссылки для бесплатных сообщений и обновлённый редактор QR-кодов В Beta-версиях Telegram для iOS 13.0.1, Telegram для macOS 13.0 и Telegram для Android 13.1 обновился экран создания QR-кода для личного профиля. Помимо новых настроек оформления, в мессенджере появилась возможность генерировать специальные ссылки и QR-коды, позволяющие писать вам бесплатно даже при включённых платных сообщениях. Как это работает Если у вас настроена плата за входящие сообщения в звёздах, под QR-кодом профиля отображается кнопка «Remove message fee» («Убрать плату за сообщения»). При её активации к ссылке на профиль добавляется случайно сгенерированный токен доступа. Обычная ссылка продолжит требовать оплату, а бесплатная отправка сообщений окажется доступна только тем, кто перешёл по ссылке или отсканировал QR-код с действительным токеном. По умолчанию создаваемый QR-код является временным и действует 1 минуту — это удобно, если нужно показать его собеседнику с экрана телефона при личной встрече. В меню управления кодом можно переключить параметры: сделать ссылку бессрочной (Disable timer), снова ограничить её действие одной минутой (Expire after 1 minute), сбросить токен, сделав старую ссылку недействительной (Reset Code) или полностью вернуть плату за сообщения (Restore message fee). Функция полезна, если вы хотите защититься от спама и непрошенных личных сообщений, но при этом хотите разместить «бесплатную» точку входа на своём сайте, визитке или в закрытом сообществе, где вас будут искать знакомые или потенциальные клиенты, либо автоматизировать выдачу ссылки через бота. Новое оформление QR-кодов Настройка внешнего вида кода больше не ограничивается стандартными темами: теперь пользователи могут выбирать оттенки из широкой палитры, использовать в качестве фонового узора произвольные эмодзи или уникальные улучшенные подарки из своего профиля (последние — только с подпиской Telegram Premium). В связи с этим теперь только сам владелец аккаунта может управлять внешним видом экрана своего QR-кода. Украшения, добавленные в оформление ссылки, видны остальным пользователям. Больше о новинках из тестовых сборок мы рассказываем в нашем канале Beta Info. #Beta #iOS #macOS #Android #звёзды #подарки

Telegram снова тестирует новостную ленту и персональные рекомендации В Beta-версии Telegram для macOS под номером 13.0 (283318) появилась отдельная вкладка «News» для просмотра публикаций из каналов в формате единой ленты. О находке сообщил канал @telelakel. Как устроена новостная лента Текущая реализация ленты с постами имеет несколько особенностей: • Два раздела: Вкладка «News» разделена на две секции — «Added» («Добавленные») и «For You» («Для вас»). • Собственная подборка: В разделе «Added» пользователи смогут вручную формировать свою ленту, добавляя и удаляя выбранные каналы с помощью отдельных действий в интерфейсе. • Персональные рекомендации: Секция «For You» будет подбирать публикации на основе интересов пользователя. Интересующие категории (у каждой будут свои название и эмодзи) можно выбирать самостоятельно и менять со временем. При этом пока неизвестно, по какому алгоритму будет формироваться эта выдача и попадут ли в неё посты из тех каналов, на которые пользователь не подписан. • Навигация и скорость: Интерфейс ленты включает строку поиска, обновление потягиванием вниз (pull-to-refresh), индикатор новых постов и кнопку для пометки их прочитанными. Прямо из ленты можно открывать сами публикации и каналы, переходить к чатам и копировать ссылки. Для быстрого просмотра контента предусмотрена фоновая предзагрузка медиафайлов, аватарок и историй. История вопроса и контекст Команда мессенджера подступается к созданию единой ленты на протяжении восьми лет: • Впервые возможность собирать каналы в единую новостную ленту появилась в Beta-версии Telegram для macOS ещё в январе 2018 года, но вскоре была отключена на стороне сервера. • В апреле 2022 года коммит, подтверждающий разработку новостной ленты, был замечен в официальном репозитории Telegram для iOS, однако функция так и не добралась до релиза. • Параллельно в 2019-2021 годах Telegram провёл серию масштабных конкурсов по ранжированию и кластеризации новостей, а также по определению языка и тематики каналов. • До сих пор главным способом последовательного чтения подписок в мессенджере оставался жест перехода к следующему непрочитанному каналу, а алгоритмические рекомендации ограничивались списком «Похожих каналов» и вкладкой «Каналы» в глобальном поиске. Редакция @tginfo отмечает, что появление алгоритмической ленты в духе платформы X (бывший Twitter) может серьёзно изменить потребление контента в мессенджере. Для авторов это потенциальный источник бесплатного органического трафика без закупки рекламы, а для самого Telegram — способ повысить вовлечённость аудитории и увеличить количество показов официальной рекламы. Сейчас новостная лента отключена на стороне сервера и находится в разработке — к моменту релиза её механика и внешний вид могут измениться. Больше о новинках из тестовых сборок мы рассказываем в нашем канале Beta Info. #Beta #macOS #каналы

Telegram обновился до версии 13.0: нативный кошелёк и мгновенные переводы Gram Telegram приступил к поэтапному развёртыванию собственного некастодиального кошелька — Gram Wallet. На данный момент сервис поддерживает только криптовалюту Gram, а также NFT, связанные с мессенджером: уникальные подарки, коллекционные имена пользователей и анонимные номера. Сейчас Gram Wallet доступен ограниченному числу пользователей. Чтобы разблокировать доступ к кошельку до того, как он распространится на всю аудиторию мессенджера, потребуется обновить приложение до актуальной версии и получить перевод от другого пользователя на сумму от 0.1 Gram. После активации кошелька его баланс отобразится в разделе настроек «Деньги», на месте бота Wallet, который был переименован в Walt и скрыт из основного меню незадолго до запуска нативного кошелька. Вместе с тем, вы сможете мгновенно переводить Gram своим собеседникам через одноимённую вкладку в меню вложений личного чата. Одна из особенностей интегрируемого кошелька — это возможность ежедневно совершать до пяти переводов Gram другим пользователям Telegram или на адреса кошельков без комиссии блокчейна TON. При этом первая транзакция облагается комиссией за инициализацию смарт-контракта. Подписывайтесь на наш канал @infoton, чтобы быть в курсе событий вокруг блокчейна TON и криптовалюты Gram. Скачать обновление • Android: Google Play, APK с официального сайта или верифицированного канала. • iOS: App Store. • Windows / macOS / Linux: официальный сайт или GitHub. • Windows: Microsoft Store. • Linux: Flathub, Snapcraft. • macOS: App Store или с верифицированного канала. #обновление #Android #iOS #Desktop #macOS

Опасная уязвимость в Telegram Desktop: кража любых файлов в один клик Чего делать НЕЛЬЗЯ и как защититься: • Не оставайтесь на версиях ниже 7.2.9 — срочно обновите клиент. Если вы используете неофициальный клиент, временно перейдите на официальный, пока не выйдет обновление. Скачать: • Windows / macOS / Linux: официальный сайт или GitHub. • Windows: Microsoft Store. • macOS: App Store. • Linux: Flathub,Snapcraft. Совет для пользователей старых клиентов: • Ссылки опасны: кликая по любым ссылкам, внимательно читайте всплывающее окно — если Telegram показывает в ссылке странную структуру (например, начинается с tg://), не переходите по ней. • Не держите клиент без локального код-пароля: его включение шифрует файлы сессии в каталоге tdata, предотвращая мгновенный захват аккаунта даже при их утечке. В чём суть проблемы? В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181). Из-за отсутствия экранирования разделителя ; параметры в ссылках схемы tg:// распознавались как отдельные IPC-команды. С помощью служебного обработчика interpret: атакующий мог при клике на подготовленную ссылку незаметно отправить файлы с системы в свой канал без подтверждения со стороны пользователя. Главный риск Опасность не ограничивается только перехватом файлов сессии tdata и угоном аккаунта. Эксплуатация позволяет скрытно украсть абсолютно любые файлы на компьютере, к которым у пользователя есть доступ: документы, сохранённые сессии браузеров, SSH-ключи, системные конфигурации или кошельки с криптовалютой. #безопасность #desktop #уязвимости

Интерактивные Web-сообщения прямо в чате Канал TBetaLeak обнаружил в сборке Telegram для macOS версии 12.10.283300 масштабную экспериментальную подсистему — HTMLBubbles. Согласно описанию, мессенджер тестирует интерактивные сообщения на базе HTML, CSS и JavaScript прямо в чате, без необходимости запускать отдельное окно Web Mini App. Редакция @tginfo поверхностно подтверждает появление данного модуля в коде указанной версии, однако описанное поведение и механика работы пока независимо не подтверждались. Идея заключается в том, чтобы превратить обычные сообщения в виджеты: карточки товаров с переключением параметров, интерактивные посадочные талоны или живые графики. По данным источника, для отрисовки используется компактный движок litehtml, а скрипты работают в крайне жёсткой песочнице с лимитами по CPU, блокировкой сетевых запросов и запретом на внешние медиа. Со всеми техническими подробностями ограничений можно ознакомиться в публикации авторов. Опасения редакции Несмотря на внушительный список ограничений, у редакции @tginfo есть серьезные опасения насчет безопасности подобного нововведения. Интеграция веб-движков с поддержкой исполнения JavaScript, даже сильно урезанного, непосредственно в интерфейс переписки — это огромный риск. Практика показывает, что как бы разработчики ни изолировали среду, в системах рендеринга регулярно находят уязвимости. Риск исполнения вредоносного кода просто при просмотре чата вызывает большие вопросы к целесообразности таких виджетов. Сейчас HTMLBubbles — это ранний экспериментальный концепт, который тестируется внутри команды Telegram. Функцию могут сильно изменить в процессе разработки, либо полностью отменить. #macOS #beta