Pengguna Telegram Desktop perlu berhati-hati saat menyimpan percakapan dalam format HTML. Peneliti keamanan dari ExPatch menemukan celah yang memungkinkan kode JavaScript tersembunyi masuk ke file hasil ekspor dan membaca data chat ketika file tersebut dibuka melalui browser.

Masalah ini tidak terjadi saat pengguna sekadar membaca pesan di aplikasi Telegram. Risiko muncul pada proses ekspor karena versi Telegram Desktop tertentu tidak mengamankan teks tombol yang dibuat oleh bot dengan benar.

Bagaimana Celah Telegram Desktop Bisa Terjadi?

Telegram Desktop memungkinkan pengguna mengekspor percakapan sebagai halaman HTML. File tersebut kemudian dapat dibuka melalui browser untuk membaca kembali isi chat.

Peneliti menemukan bahwa teks pada tombol yang dibuat bot dapat dimasukkan ke dalam file HTML tanpa proses escaping yang memadai. Kondisi ini memungkinkan kode JavaScript disisipkan ke dalam teks tombol, bahkan dapat disamarkan dengan karakter yang tidak terlihat.

Beberapa kondisi yang diperlukan agar celah dapat dimanfaatkan meliputi:

• Chat diekspor menggunakan Telegram Desktop versi rentan.
• Percakapan mengandung pesan bot dengan tombol tertentu.
• Kode berbahaya ikut masuk ke file HTML.
• File dibuka melalui browser dengan JavaScript aktif.

Dengan demikian, tidak semua chat Telegram otomatis berisiko bocor. Ancaman terutama muncul ketika file HTML lama yang dibuat menggunakan versi rentan dibuka kembali.

Baca Juga: Data Pribadi Terlanjur Bocor, Apa yang Harus Dilakukan?

Data Chat yang Bisa Bocor

Ketika file HTML yang telah disisipi kode dibuka, JavaScript dapat berjalan tanpa pengguna harus melakukan klik tambahan. Kode tersebut kemudian dapat membaca informasi yang tersimpan dalam file dan mengirimkannya ke server yang dikendalikan penyerang.

Data yang berpotensi terekspos meliputi:

• Isi pesan dalam file.
• Nama pengirim.
• Waktu atau timestamp pesan.
• Nama dan jenis percakapan.
• Jumlah anggota chat.
• Lokasi file di perangkat.

Namun, celah ini tidak memberikan akses langsung ke seluruh akun Telegram. Telegram Desktop membagi ekspor panjang menjadi beberapa file sehingga data yang dapat dibaca terbatas pada isi file yang sedang dibuka.

Pesan Bot Bisa Terbawa ke Grup Lain

Pesan yang membawa kode berbahaya tidak harus dikirim langsung ke grup yang menjadi target. Peneliti menemukan bahwa pesan bot dengan tombol berbentuk tautan dapat diteruskan ke percakapan lain dan tetap mempertahankan tombol tersebut.

Artinya, sebuah pesan dapat tersimpan dalam riwayat grup selama berbulan-bulan atau bertahun-tahun sebelum akhirnya masuk ke file ekspor. Alur risikonya dapat terjadi sebagai berikut:

• Bot mengirim pesan dengan tombol yang telah disisipi kode.
• Pesan diteruskan ke grup atau chat lain.
• Pesan tersimpan dalam riwayat percakapan.
• Pengguna mengekspor chat ke format HTML.
• Kode ikut terbawa ke file hasil ekspor.
• File dibuka dengan JavaScript aktif.
• Data dalam file dapat dibaca dan dikirim keluar.

Baca Juga: Jutaan Password Bocor, Apa yang Harus Dilakukan Pengguna?

File Lama Tetap Berisiko setelah Update

Telegram telah memperbaiki celah ini pada Juli 2026. Namun, pembaruan aplikasi tidak otomatis membersihkan file HTML yang dibuat menggunakan versi sebelumnya. Versi yang terkait dengan kerentanan tersebut adalah:

• Terdampak: Telegram Desktop 4.15.1 hingga 6.9.3.
• Diperbaiki: versi beta 6.9.4 dan versi stabil 7.0.1 atau lebih baru.

Karena itu, pengguna yang memiliki arsip HTML lama tetap perlu berhati-hati meskipun aplikasinya sudah diperbarui.

Apa yang Harus Dilakukan Pengguna?

Pengguna Telegram Desktop disarankan memperbarui aplikasi dan menangani file ekspor lama secara hati-hati. File yang dibuat sebelum perbaikan sebaiknya tidak langsung dianggap aman.

Beberapa langkah yang dapat dilakukan, antara lain:

• Perbarui Telegram Desktop ke versi 7.0.1 atau lebih baru.
• Ekspor ulang chat lama menggunakan versi yang sudah diperbaiki.
• Hindari membuka file HTML lama dengan JavaScript aktif.
• Perlakukan file ekspor lama sebagai file yang tidak tepercaya.
• Hindari membuat ekspor HTML baru sebelum aplikasi diperbarui.

Kasus ini menunjukkan bahwa keamanan tidak hanya perlu diperhatikan pada aplikasi dan akun, tetapi juga pada file yang dihasilkan dari layanan tersebut. Arsip digital yang berisi informasi penting tetap perlu diperlakukan dengan hati-hati agar tidak menjadi jalur kebocoran data.