Telegram 新 widget 引擎已现多个 RCE，macOS 可用 Santa 规则阻断
banteg · x · 2026-11-13
banteg 指出 Telegram 新推出的 bot widget 引擎已出现多个远程代码执行漏洞（RCE），并在 Android、iOS 和 Windows 上演示了代码执行。考虑到 macOS 版迟早中招，他发布了一个前置防护方案。
macOS 原生 Telegram（13.2.0，ru.keepcoder.Telegram）在独立的 XPC helper 中运行 bot widget 的 JavaScript。作者给出的做法是：安装开源端点安全工具 Santa，并用签名 ID 规则静默阻止该 helper 启动，同时不影响 Telegram 本体运行：
bash
sudo santactl rule --silent-block --signingid \
--identifier '6N38VWS5BX:ru.keepcoder.Telegram.WidgetEngine'
文中还说明了 Santa 的安装与 Full Disk Access 授权步骤、如何用 santactl fileinfo 验证 helper 已被拦截，以及在企业 fleets 中用 SIGNINGID + SILENTBLOCKLIST 策略统一部署的方法；并提醒 Telegram 更新后需重新检查 helper 与拦截是否生效。
「安全」频道最新
- 安全人士提醒：把 agent 跑进 VM 后威胁已从外部变为内部 — wavefnx · 2026-11-13
- 网友称黄仁勋遭联合逼宫：政客与闭源厂商各有所图 — csuwildcat · 2026-11-13
- 韩国税务师考试状元 397.5 分，被无端怀疑戴 AI 眼镜作弊 — meshive · 2026-11-13
- Cloudflare 开源 security-audit skill:让编码 Agent 自动做全仓安全审计 — bibryam · 2026-11-13
- 盘点 10 个保护 AI Agent Skill 的开源项目,26% 公开 skill 有危险模式 — bibryam · 2026-11-13
- 纽约建 5500 万美元实验室预检 AI，英国拟获强制下架权 — YvesMulkers · 2026-11-13