보안2026. 11. 13. 오후 3:55 UTC·1 분 소요

텔레그램 HTML 위젯에서 안드로이드 원격 코드 실행 취약점 발견

보안 연구팀 V12가 텔레그램의 새 채팅 내 HTML 위젯으로 안드로이드에서 원격 코드 실행이 가능함을 보였습니다. 수정 패치는 이미 나왔습니다.

텔레그램이 새로 내놓은 HTML 위젯에서 안드로이드 원격 코드 실행(RCE) 취약점이 확인됐습니다. 공격자가 멀리서 기기에 코드를 실행할 수 있는 유형의 결함입니다. 보안 연구팀 V12가 이를 시연했습니다.

무슨 일이 있었나

V12 연구진은 메시지 안에 들어가는 인터랙티브 HTML 위젯으로 원격 코드 실행이 가능하다는 점을 보였습니다. 영향을 받은 것은 안드로이드용 텔레그램이며, 개발사는 이미 수정본을 배포했습니다.

텔레그램은 11월 9일 Bot API 10.4를 공개하면서 봇이 인터랙티브 HTML 위젯을 보낼 수 있게 했습니다. 미니앱처럼 별도 앱을 열지 않고 대화창 안에서 바로 동작합니다.

위젯은 HTML, CSS, JavaScript를 지원하며, JavaScript는 QuickJS라는 격리된 환경에서 실행됩니다. 취약점 소식은 11월 11일에 나왔습니다. 기능 공개 이틀 만입니다.

구체적인 공격 방식은 확인된 자료에 나와 있지 않습니다. 분명한 것은 수정이 이미 나왔다는 점입니다. 안드로이드 텔레그램을 최신 버전으로 업데이트해 두는 것이 안전합니다.

올바른 칸을 고르고 더해 목표 숫자를 맞추세요. 배우긴 쉽고 마스터하긴 어렵습니다. 무료, 전 연령.

AI 대화 파트너와 대화하세요. 모든 문장이 교정되어 내 언어로 설명과 함께 돌아옵니다. 9개 언어, A1부터 C2까지.

EDIFACT와 X12 메시지를 열어 각 세그먼트 설명을 보고, JSON/XML로 변환하고, PDF와 Excel로 내보내세요. 로컬에서 실행, 업로드 없음.

받는 사람, 기념일, 성격을 고르세요. 검색 엔진이 현지 상점의 상품 설명을 읽고 어울리는 것을 추려 줍니다. 무료, 가입 없음.

태그:telegramrcevulnerabilityandroidbot apihtml widgets