📱У Telegram Desktop виявили вразливість, яка дозволяла викрадати файли та отримувати доступ до акаунтів

CVE-2026-107181 отримала 8,6 бала за CVSS 4.0 (високий рівень небезпеки).

➡️Як працювала схема атаки?

Зловмисник додавав користувача до Telegram-групи та розміщував у ній текстові файли .txt з інструкціями. За стандартних налаштувань Telegram Desktop автоматично завантажував вкладення об’ємом до 8 МБ після відкриття чату.

Потім жертва переходила за HTTPS-посиланням. Сервер зловмисника перенаправляв браузер на спеціально сформовану адресу tg://.

Якщо Telegram Desktop уже працював, новий процес передавав адресу запущеному застосунку через IPC. Через неналежне екранування крапки з комою (;) її частину програма сприймала як окремі внутрішні команди.

Обробник interpret: зчитував локальні файли й надсилав їх у групу зловмисника без додаткового підтвердження.

Серед цілей були файли з каталогу tdata із зашифрованими даними авторизації. За відсутності локального пароля викрадення цих файлів дозволяло відновити сесію на іншому пристрої без повторного входу.

Проблема стосувалася версій Telegram Desktop до 7.2.9. Виправлення стало доступним 17 вересня 2026 року, а інформацію про CVE опублікували 7 жовтня. 

📱Як захиститися?

🔹 Оновіть Telegram Desktop до версії 7.2.9 або новішої.

🔹 Не переходьте за підозрілими посиланнями, які відкривають або перенаправляють у Telegram.

🔹 Установіть надійний локальний пароль застосунку.

🔹 Увімкніть підтвердження місця збереження для кожного файлу та забороніть незнайомцям додавати вас до груп.

🔹 Перевірте активні сеанси у меню «Налаштування → Пристрої». За найменших підозр завершіть небажані сесії з іншого надійного пристрою.

❌

Оновлення усуває вразливість, проте не позбавляє зловмисника доступу, який він міг отримати раніше. 

🔗 Технічний розбір BeakSec