Публично достъпна концептуална разработка (proof of concept - PoC) разкри уязвимост в Telegram Desktop, която би могла да позволи на атакуващите да откраднат локални файлове и да превземат акаунти, след като потребителят кликне върху специално модифицирана външна връзка. Уязвимостта се проследява като CVE-2026-107181, засяга версии преди 7.2.9 и има степен на сериозност 8.6 (висока) по системата CVSS 4.0.

Изследователят Beaksec публикува техническия доклад на 3 октомври 2026 г. и го обнови на 7 октомври. VulnCheck назначи CVE идентификатор на същия ден. Докладваната атака достига до локалните сесийни данни на Telegram, правилно възможно превземането на акаунт, когато жертвата не е активирала локална парола за достъп.

Уязвимостта се дължи на начина, по който Telegram Desktop обработва връзки, отворени извън приложението. Когато Telegram вече работи, друг екземпляр препраща връзката към него чрез локален комуникационен канал, известен като междупроцесна комуникация (IPC).

Този канал не успява да ескейпне символ, използван за разделяне на записи. Атакуващ би могъл да постави символа в модифицирана връзка и да накара Telegram да прочете част от връзката като друга команда. В съответния CVE запис това е класифицирано като CWE-143 (неправилна обработка на разделители на записи).

Публикуван е PoC за уязвимост в Telegram Desktop

Според изследването на ThreatWire инжектираната команда е могла да достигне до остарял вътрешен помощен модул, предназначен за публикуване на версии. Този помощен модул е можел да чете локални файлове и да ги изпраща в чат без проверка на правата или потвърждение от потребителя.

Резултатът е кражба на файлове директно през Telegram. Откраднатите сесийни файлове биха могли да позволят на киберпрестъпник да използва повторно влезлия в системата акаунт на жертвата. Предишни доклади за отвличане на Telegram акаунти чрез гласова поща показват друг път за загуба на акаунт, но този метод е отделен от настоящата уязвимост в Desktop версията.

Изследователят демострира веригата от уязвимости в Windows с помощта на Telegram Desktop 6.9.3 и съобщи, че тя остава налична до версия 7.2.8. Въпреки че CVE покрива Telegram Desktop като цяло, техническият доклад не демонстрира атаката върху macOS или Linux.

Връзката трябва да бъде отворена извън Telegram, например от браузър. Връзките, върху които е кликнато вътре в Telegram, следват различен път на обработка и не са засегнати. Браузърът може също да поиска разрешение, преди да стартира десктоп приложението.

Demonstriranata верига от атаки зависи от автоматичното изтегляне на файлове в групи и настройки, които позволяват на всеки да добавя жертвата в група. Тези условия са от значение при оценката на твърдението за атака с „един клик“. Предишното отразяване на EvilVideo също акцентира върху настройките за изтегляне, въпреки че този проблем засягаше Telegram за Android, а не Desktop.

Telegram отстрани уязвимостта в съобщение за промени (commit) db3405699f на 16 септември и пусна версия 7.2.9 на 17 септември. Докладваните промени премахват остарелия помощен модул, ескейпват разделителя на записи и укрепват обработката на смесени типове записи.

Бележките към версията споменават само корекция при визуализацията (rendering fix), но не и проблема със сигурността. В предоставените доклади не се посочва официално бюлетин за сигурност от производителя. Оценката по CVSS 3.1 е 8.1, докато CVSS 4.0 дава 8.6. И двете оценки описват една и съща уязвимост.

Потребителите трябва да инсталират корекции за сигурност на всяко копие на Telegram Desktop до версия 7.2.9 или по-нова. Дотогава ограничете поканите за групи, спрете автоматичните изтегляния и активирайте локална парола. Отнасяйте се внимателно към неочаквани подкани от браузъра за отваряне на Telegram.

Към 9 октомври предоставената информация не съдържа данни за известна експлоатация или включване в каталога KEV на CISA. Публичната концептуална разработка (PoC) демонстрира осъществимост, а не потвърдени атаки. Публичният доклад не трябва да се бърка с независимо потвърждение за извършени атаки. Потребителите, които се съмняват, че са засегнати, трябва да прекратят останалите активни сесии и да прегледат чатовете си за неочаквано изпратени файлове.

Спира заплахите преди въздействие с 21 минути по-бързо MTTR. Интегрирайте изолираната среда (Sandbox) на ANYRUN във вашия SOC