क्रिप्टो एक्सचेंज Bybit ने शुक्रवार को यूज़र्स को सलाह दी कि वे अपने Android डिवाइस पर Telegram तुरंत अपडेट करें। यह चेतावनी उस बग के बाद दी गई है, जिसमें एक सिंगल चैट मैसेज से Android फोन पर कोड रन हो सकता था।
जोखिम सिर्फ Telegram तक सीमित नहीं है। “अगर डिवाइस कंप्रोमाइज़ हो गया तो वह अन्य ऐप्स को भी रिस्क में डाल सकता है,” Bybit ने कहा। अक्सर Telegram उन्हीं फोन पर एक्सचेंज और वॉलेट ऐप्स के साथ इस्तेमाल किया जाता है।
Telegram बग ने क्या किया？
9 नवंबर को, Telegram ने बोट्स को “widgets” भेजने की परमिशन दी, जो एक चैट मैसेज के अंदर छोटे ऐप्स होते हैं, tbreak के अनुसार।
दो दिन बाद, सिक्योरिटी फर्म V12 ने एक वीडियो पोस्ट किया, जिसमें एक बोट मैसेज ने खुद-ब-खुद Android फोन में Calculator ऐप ओपन कर दिया। यह remote code execution (RCE) को दर्शाता है: कोई outsider डिवाइस पर ऐसे कमांड चला सकता है जिसकी उसे अनुमति नहीं है।
Any telegram message can now become RCE
6630b003766baed1fa86cea880d22e41dc416f63d800de3246941ede2396ad48 https://t.co/YutcuqjXud pic.twitter.com/NLqRINZ0hg
— V12 (@v12sec) November 11, 2026
V12 ने अभी तक यह नहीं बताया है कि यह अटैक कैसे काम करता है, और कोई इंडिपेंडेंट पार्टी ने इसकी पुष्टि नहीं की है, Kod.ru की रिपोर्ट के मुताबिक।
क्या बग फिक्स हो गया है？
Telegram ने कहा है कि हां। “यह इशू Telegram for Android में कल फिक्स कर दिया गया था, और आज सभी यूज़र्स के लिए अपडेट दे दिया गया है,” Telegram ने 11 नवंबर को पोस्ट किया।
dev.ua को असली हमलों का कोई सबूत नहीं मिला।
क्रिप्टो यूज़र्स के लिए क्यों ज़रूरी है？
ये widgets Telegram के self-custody वॉलेट के जरिए Gram (TON ब्लॉकचेन की करेंसी, पहले Toncoin) पेमेंट्स ले जाते हैं। सेल्फ-कस्टडी का मतलब है कि कोई कंपनी ट्रांसफर को रिवर्स नहीं कर सकती। Durov ने बताया कि ऐसे वॉलेट्स 48 घंटे में 1 मिलियन से अधिक एक्टिव हो गए थे, TokenPost की रिपोर्ट के मुताबिक।
dev.ua ने यह भी नोट किया कि Telegram के एक्सेस के जरिए रन होने वाला कोड, थ्योरी में उस डेटा तक पहुंच सकता है, जो अकाउंट को लॉग्ड इन रखता है। टू-फैक्टर ऑथेंटिकेशन उन सेशन्स को प्रोटेक्ट नहीं करता जो पहले से ओपन हैं।
ये एक महीने में Telegram का दूसरा Android कोड-एक्जीक्यूशन बग है, पहला voice-call बग था जिसे NebuSec ने डिस्क्लोज किया था। Bybit खुद फरवरी 2025 में करीब $1.5 बिलियन गंवा चुका है, जब FBI के मुताबिक, North Korea से जुड़े हैकर्स ने वॉलेट प्रोवाइडर के डेवेलपर का कंप्यूटर हैक कर लिया था।
यूज़र्स को आगे क्या ध्यान रखना चाहिए？
Bybit ने अपने यूज़र्स से अपील की है कि वे अनजान बोट्स, चैट्स और लिंक्स से बचें, और सिर्फ इसके वेरिफाइड चैनल्स पर ही भरोसा करें।
Telegram ने अभी तक ये नहीं बताया है कि iPhone या डेस्कटॉप यूज़र्स प्रभावित हुए हैं या नहीं। विजेट्स जल्दी ही ग्रुप चैट्स में भी उपलब्ध कराए जाएंगे, हालांकि इसके लिए कोई तारीख घोषित नहीं की गई है।