Исследователи BeakSec представили технические подробности критической уязвимости в Telegram Desktop, позволяющей красть файлы с компьютера после клика по ссылке.

CVE-2026-107181 получила оценку 8,6 из 10 по CVSS и затрагивает все версии клиента до 7.2.9. Исследователи успешно апробировали вектор атаки на Windows, после чего выкатили рабочий PoC.

Основная проблема заключается в том, как приложение обрабатывает ссылки вида tg://. При клике запускается второй процесс Telegram, который передаtт адрес уже открытому клиенту через локальный сокет.

Команды в этом канале разделяются точкой с запятой, но в самой ссылке этот символ не экранировался. Из-за этого в ссылку можно было встроить дополнительные команды.

Через них атакующий вызывал служебный обработчик interpret:, который умеет читать файлы с диска и отправлять их в чат. Подтверждения от пользователя он не запрашивал.

Главная потенциальная цель в случае реализации атаки - файлы сессии из папки tdata: с ними злоумышленник может войти в аккаунт без повторной авторизации. По мнению BeakSec, тем же способом можно прочитать и любой другой файл на диске, к которому есть доступ у пользователя.

BeakSec передали данные об уязвимости через программу Zero Day Initiative ещё 25 июня. Telegram исправил её в 7.2.9, вышедшей 17 сентября.

Обработчик interpret: удалили, а разделитель теперь экранируется. В списке изменений этой версии упоминается только исправление отрисовки анимаций.

Согласно официальным источникам попыток реализации уязвимости в дикой природе пока не зафиксировано. Тем не менее, пользователям следует как можно оперативнее накатить Telegram Desktop версии 7.2.9 или новее.