📈 ⚠️ 🔍 В Telegram нашли дыру в движке ботов
Исследователь connorshea обнаружил уязвимость в QuickJS-NG — JavaScript-движке, на котором работают интерактивные сообщения ботов. Ошибка позволяет обращаться к уже освобождённой памяти, а значит теоретически — выйти из защищённой среды и выполнить вредоносный код на устройстве.
Параллельно всплыл Windows-клиент: там нашли брешь на основе схемы Right-to-Left Override (RLO). Эксплуатация не требует действий пользователя, а сложность атаки низкая — это и тревожит.
Что делать сейчас:
– не заходить в незнакомых ботов;
– не открывать подозрительные сообщения;
– обновить Telegram, когда выйдет патч.
Для индустрии сигнал простой: чем больше в мессенджере «умных» ботов и интерактива, тем шире поверхность атаки. Удобство и безопасность снова тянут в разные стороны.