Ограничение заработало на сервере около 19:00 по Москве после серии публикаций о проблемах с безопасностью. Правда, Павел Дуров уверяет, что удалённо запускать программы через переписку невозможно.
Как уточняется в документации, эти мини-приложения в чатах весят до четырёх килобайт.
Шум поднялся в ночь на 13 ноября после нового видео от исследователей из V12. В их демонстрации пользователь просто нажимал кнопку «Старт», а его компьютер сам открывал «Калькулятор».
Причём трюк сработал на клиенте, вышедшем за день до этого.
Сам мессенджер публично комментировать ситуацию не стал. Зато изменения в работе сервиса уже заметили и разработчики, и пользователи:
- создатели площадки деактивировали метод отправки виджетов в Bot API и убрали инструкцию с GitHub;
- на тестовом сервере платформы интерактивные сообщения пока ещё работают;
- уже присланные ранее виджеты ведут себя по-разному — по одним данным они ещё нажимаются, а по другим превратились в статичные картинки.
Павел Дуров считает проблему удалённого взлома преувеличенной и уверяет, что заразить устройство через сообщение нельзя. По его словам, для такой атаки человеку пришлось бы самостоятельно запустить сторонний сервис.
Тем не менее показанную в ролике лазейку разработчики уже закрыли на сервере.
Эксперты всё равно сомневаются в безопасности архитектуры таких виджетов, и пока неясно, рискнёт ли платформа вернуть их в чаты.
Что это значит
Не стоит сразу переводить работу с клиентами на новые функции сервисов — из-за ошибок их могут внезапно отключить.
