HTML 小组件可能被用于发起攻击
卡巴斯基实验室表示，根据初步分析，HTML 小组件中的漏洞可能已经在现实环境中遭到利用，首批攻击事件于昨夜被记录。
恶意代码会安装能够让攻击者远程访问受害者电脑的软件，并窃取 Telegram 账号和加密钱包中的数据。此前，Telegram 创始人帕维尔·杜罗夫曾驳斥了有关该功能漏洞的说法，认为相关风险被夸大了。
锁定模式
在 Telegram for macOS 的 Beta 版本中，telelakel Telegram 频道发现了一项名为“锁定模式 (Lockdown Mode)”的功能。该模式允许用户禁用或限制若干可能被攻击者利用的功能：
• 禁止自动下载陌生人发送的媒体文件。
• 禁用快速查看和链接预览。
• 在打开网站、迷你 App、HTML 小组件以及某些文件类型之前显示警告。
目前，用户还无法单独管理这些限制。例如，无法实现只禁用 HTML 小组件，同时保留其他功能。
当前小组件的状态
HTML 消息仍然在服务器端处于禁用状态。Telegram 团队仍在持续为该功能的代码部署安全补丁。目前尚不清楚 Telegram 计划何时重新启用这一存在风险的功能。
允许在 Telegram 客户端中执行完整或受限的 JavaScript 从一开始就引发了严重的安全担忧。尽管存在明显的风险，该功能仍在 2026 年 10 月下旬推送至 Telegram Beta 版应用。
