Bug Telegram Widget: Bantahan Durov dan Cara Amankan Akun

Bug di fitur widget Telegram sudah ditambal, dan pengguna tidak bisa diretas hanya karena menerima pesan biasa. Risikonya muncul kalau Anda sendiri membuka chat dan menekan tombol Start di bot jahat, lalu bot itu mengirim widget yang sudah dimodifikasi.

Kabar ini ramai sejak 11 November 2026, saat kelompok riset V12 memamerkan video bertuliskan "Any telegram message can now become RCE". Dua hari kemudian, Pavel Durov membantah lewat kanal Telegram-nya dan menantang peretas membobol akunnya sendiri. Di bawah ada kronologi singkat, daftar versi yang terdampak, dan langkah lima menit supaya akun Telegram Anda tetap aman.

Apa yang sebenarnya terjadi dengan widget Telegram?

Widget adalah fitur baru yang dibuka Telegram untuk bot sekitar 9 sampai 10 November 2026. Lewat fitur ini, bot bisa mengirim pesan berisi HTML dan JavaScript yang tampil seperti aplikasi mini di dalam chat. Durov menyebutnya dengan kalimat "any Telegram message can now become an app", lengkap dengan dukungan pembayaran dan ukuran di bawah 4 KB.

Masalahnya ada di mesin yang menjalankan kode widget, yaitu QuickJS-ng. Menurut catatan riset di GitHub milik davtur19, kode widget langsung berjalan begitu chat dibuka, tanpa perlu diketuk. Satu potongan JavaScript yang disusun khusus bisa membuat mesin itu membaca dan menulis memori di luar batasnya, lalu dipakai untuk menjalankan kode di perangkat.

Berikut urutan kejadiannya. Jam sudah diubah ke WIB dari laporan CyberSIXT dan Kod.ru.

Telegram belum merilis nomor CVE, catatan keamanan resmi, atau keterangan apakah celah ini sempat dipakai sebelum ditambal. Sampai artikel ini ditulis, belum ada laporan serangan nyata ke pengguna.

Benarkah HP bisa dibobol cuma lewat satu pesan?

Jawaban pendeknya: tidak untuk pesan dari sembarang orang. Widget hanya bisa dikirim oleh bot lewat Bot API, dan bot tidak bisa mengirim pesan ke pengguna yang belum pernah menekan Start. Jadi orang asing yang mengirim chat biasa ke Anda tidak bisa memicu bug ini.

Durov menulis, "You had to actively start a third-party service first." Ia juga menyebut celahnya sudah ditutup penuh di sisi server, lalu menantang siapa pun untuk meretas akunnya. Unggahan itu sudah dilihat lebih dari 100 ribu kali dalam sehari.

Di sisi lain, V12 menilai masalahnya ada pada desain fiturnya. Menurut mereka, menjalankan QuickJS di dalam pesan tanpa sandbox memperluas celah serangan, meski bug satu per satu ditutup. Peneliti keamanan Joel Eriksson juga mencatat bahwa mesin itu berjalan di dalam proses Telegram, sehingga eksploit yang berhasil ikut mendapat hak akses aplikasi Telegram.

Supaya tidak bingung, ini perbandingan kedua klaim tersebut.

Kesimpulan praktisnya: pengguna yang tidak pernah memulai bot asing hampir pasti aman. Pengguna yang sering mencoba bot baru, misalnya bot unduh video atau bot hadiah, perlu lebih waspada.

Versi Telegram mana saja yang kena?

Daftar di bawah berasal dari repositori riset davtur19 di GitHub. Telegram sendiri tidak menyebut nomor versi yang terdampak, jadi angka di tabel ini datang dari peneliti, bukan dari pengumuman resmi.

Repositori yang sama mencatat enam bug di mesin QuickJS-ng versi Telegram, ditambah beberapa bug lama yang membuat aplikasi macet. Semuanya disebut sudah diperbaiki di versi terbaru. Serangan kedua V12 di Desktop 7.4.3 belum dibuka detailnya, sehingga belum jelas bug mana yang dipakai.

Skor CVSS 9,6 masuk kategori kritis. Angka ini dari penilaian peneliti, bukan dari Telegram atau lembaga resmi seperti NVD.

Cara cek versi dan update Telegram di HP dan PC

Langkah paling penting adalah memastikan semua aplikasi Telegram yang Anda pakai sudah versi terbaru. Ingat, akun yang sama sering login di HP, laptop, dan tablet sekaligus.

Telegram Android

1. Buka Telegram, ketuk ikon garis tiga atau foto profil, lalu pilih Pengaturan.
2. Gulir ke paling bawah. Versi aplikasi tertulis di sana, misalnya "Telegram untuk Android v..." beserta nomor build.
3. Buka Google Play Store, cari Telegram, lalu ketuk Perbarui kalau tombolnya muncul.
4. Kalau memasang Telegram dari APK situs resmi telegram.org, unduh ulang APK terbaru dari situs yang sama.

Telegram iPhone dan iPad

1. Buka App Store, ketuk foto profil di kanan atas.
2. Cari Telegram di daftar pembaruan, lalu ketuk Perbarui.
3. Aktifkan pembaruan otomatis lewat Pengaturan iPhone > App Store > Pembaruan App.

Telegram Desktop di Windows dan macOS

Baca juga Efek AI Instagram Bisa Dibuat Sendiri, tapi Belum untuk Indonesia

1. Buka menu Pengaturan (Settings), lalu lihat nomor versi di bagian bawah menu.
2. Kalau ada tombol pembaruan, klik dan biarkan aplikasi memulai ulang.
3. Pengguna versi Microsoft Store atau Mac App Store cukup memperbarui dari toko aplikasinya.

Tips: Telegram Web (web.telegram.org) selalu memuat versi terbaru setiap kali halaman dibuka. Kalau aplikasi desktop Anda belum bisa diperbarui, pakai versi web dulu sementara.

Sudah terlanjur menekan Start di bot asing, apa yang harus dicek?

Jangan panik. Celah ini sudah ditutup, dan menurut Kod.ru pengiriman widget baru dari bot juga sudah dimatikan. Namun, widget yang sudah masuk ke chat sebelum itu masih bisa tampil, jadi bersihkan dulu chat yang mencurigakan.

Ikuti urutan ini, kira-kira lima menit selesai:

1. Blokir dan hapus bot. Buka chat bot, ketuk nama bot atau menu titik tiga, pilih Blokir, lalu hapus chat-nya.
2. Cek sesi aktif. Buka Pengaturan > Perangkat. Akhiri sesi dari perangkat atau lokasi yang tidak Anda kenal lewat Akhiri semua sesi lain.
3. Aktifkan Verifikasi Dua Langkah. Masuk ke Pengaturan > Privasi dan Keamanan > Verifikasi Dua Langkah, buat kata sandi tambahan, dan isi email pemulihan.
4. Pakai passkey kalau tersedia. Sejak Desember 2025 Telegram mendukung passkey untuk login tanpa kode SMS. Fitur ini menutup celah pencurian kode OTP.
5. Perbarui aplikasi di semua perangkat seperti langkah sebelumnya.
6. Pindai HP. Di Android, jalankan Google Play Protect lewat Play Store, ketuk foto profil, lalu pilih Play Protect.

Tanda akun Telegram diretas biasanya mudah dikenali: ada sesi asing di menu Perangkat, pesan terkirim yang tidak Anda tulis, atau teman melaporkan Anda meminta pulsa dan transfer. Kalau tanda ini muncul, akhiri semua sesi lain, ganti kata sandi Verifikasi Dua Langkah, lalu kabari kontak lewat jalur lain supaya mereka tidak tertipu.

Bot Telegram mana yang masih aman dipakai?

Bot tetap bagian penting Telegram, dan banyak orang di Indonesia memakainya untuk mengunduh video, mencari stiker, atau mengelola grup. Kasus ini bukan alasan meninggalkan semua bot, tetapi alasan untuk lebih memilih.

Satu kebiasaan sederhana sangat membantu: sebelum menekan Start, cek nama pengguna bot. Bot palsu sering meniru nama bot terkenal dengan selisih satu huruf atau tambahan angka.

Poin penting

• Bug ada di mesin widget QuickJS-ng yang baru diperkenalkan Telegram sekitar 9 sampai 10 November 2026.
• Serangan hanya bisa terjadi setelah korban memulai bot jahat, bukan dari pesan orang biasa.
• Telegram menambal Android pada 10 sampai 11 November dan mematikan pengiriman widget dari bot pada 13 November malam.
• Belum ada CVE, nomor versi resmi, atau laporan korban dari Telegram.
• Langkah aman: perbarui semua aplikasi Telegram, blokir bot asing, cek menu Perangkat, dan aktifkan Verifikasi Dua Langkah.

Referensi

1. Pavel Durov, kanal Telegram (2026). Re alleged RCE in new TG Android/Windows widgets
2. CyberSIXT (2026). Telegram widget bug hit iOS and desktop too; Durov disputes risk
3. GitHub, davtur19 (2026). Telegram Widget RCE
4. Kod.ru (2026). Telegram отключил HTML-виджеты, но Дуров отрицает проблему
5. Crypto Briefing (2026). Telegram founder Pavel Durov challenges hackers after security fix
6. Telegram (2025). Passkeys, Gift Purchase Offers and More