Vulnerabilidad peligrosa en Telegram Desktop: cualquier archivo puede ser robado con un solo clic

Lo que NO DEBES hacer y cómo protegerte:
• No sigas utilizando versiones anteriores a la 7.2.9 — actualiza el cliente inmediatamente. Si utilizas un cliente no oficial, cambia temporalmente al oficial hasta que se publique una actualización.

Descarga:
• Windows / macOS / Linux: sitio web oficial o GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub, Snapcraft.

Consejos para los usuarios de clientes antiguos:

• Los enlaces pueden ser peligrosos: cada vez que hagas clic en un enlace, lee atentamente la ventana emergente — si Telegram muestra una estructura inusual en el enlace (por ejemplo, uno que empiece por tg://), no lo abras.

• No utilices el cliente sin un código de acceso local: al habilitarlo, se cifran los archivos de sesión del directorio tdata, lo que impide el secuestro inmediato de la cuenta incluso si esos archivos se filtran.

¿En qué consiste el problema?

Se ha descubierto una vulnerabilidad en los clientes de Telegram Desktop anteriores a la versión 7.2.9 (CVE-2026-107181). Dado que el delimitador ; no se escapaba, los parámetros de los enlaces tg:// se interpretaban como comandos IPC independientes. Mediante el controlador «interpret:», un atacante podía provocar que se enviaran de forma encubierta archivos del sistema a su canal, sin la confirmación del usuario, cuando este hiciera clic en un enlace especialmente diseñado.

El riesgo principal

El peligro no se limita al robo de archivos de sesión tdata y al secuestro de cuentas. Aprovechar esta vulnerabilidad permite robar de forma encubierta absolutamente cualquier archivo del ordenador al que el usuario tenga acceso: documentos, sesiones guardadas del navegador, claves SSH, configuraciones del sistema o billeteras de criptomonedas.

🔗 @tginfoesp