📩 У Telegram Desktop виявили вразливість, що дозволяла викрадати файли та захоплювати акаунти

CVE-2026-107181 з оцінкою критичності 8,6 із 10 балів (CVSS 4.0).

Як працювала атака?
Зловмисник міг створити спеціальне посилання tg://, яке використовувало помилку обробки внутрішніх команд Telegram Desktop.

Після відкриття такого посилання вразливий клієнт міг виконати неочікувані команди та надіслати локальні файли користувача до каналу, контрольованого атакувальником.

Особливу небезпеку становила можливість викрадення файлів tdata, які містять дані сесії Telegram. Їх компрометація дозволяла отримати доступ до облікового запису без звичайної процедури авторизації.

Вразливими є версії Telegram Desktop, старіші за 7.2.9. Проблему усунули ще у вересні 2026 року, однак публічні деталі CVE з’явилися 7 жовтня.

Рекомендації:
• Оновити Telegram Desktop до версії 7.2.9 або новішої.
• Не відкривати підозрілі посилання, зокрема з протоколом tg://.
• Перевірити активні сеанси в розділі «Налаштування → Пристрої».
• У разі підозри на компрометацію завершити сторонні сеанси та захистити обліковий запис.

❗️ Важливо: саме по собі оновлення усуває вразливість, але не скасовує доступ, який зловмисник міг отримати раніше.