Уязвимость в Telegram Desktop: как защитить свои данные

Специалисты компании «BeakSec» обнаружили критическую уязвимость в клиенте мессенджера «Telegram» для операционной системы Windows. Ошибка, получившая идентификатор CVE-2026-107181, позволяет злоумышленникам красть файлы с компьютера пользователя после одного клика по вредоносной ссылке.

Согласно оценке по шкале CVSS, уязвимость получила 8,6 балла из 10, что классифицирует ее как риск высокого уровня. Проблема затрагивает все версии приложения до 7.2.9. Исследователи уже опубликовали рабочий код эксплойта, подтверждающий возможность атаки.

Механизм атаки

Уязвимость связана с некорректной обработкой ссылок формата «tg://». При открытии такой ссылки «Telegram» запускал дополнительный процесс, передающий адрес работающему клиенту через локальный сокет. Из-за отсутствия экранирования точек с запятой злоумышленники могли внедрять дополнительные команды. Это позволяло активировать внутренний обработчик «interpret:», который считывал файлы с диска и отправлял их в чаты без ведома пользователя. Особую опасность представляет кража содержимого папки «tdata», где хранятся файлы сессии, что дает доступ к аккаунту без повторной авторизации.

Меры защиты

• Обновите «Telegram Desktop» до версии 7.2.9, выпущенной 17 сентября.
• Пользователям неофициальных клиентов на базе кода «Telegram Desktop» рекомендуется временно перейти на официальную версию.
• Установите локальный код-пароль для защиты данных приложения.
• Ограничьте возможность добавления вашего профиля в группы только контактами.

Разработчики «Telegram» устранили проблему, удалив обработчик «interpret:» и изменив алгоритм обработки команд. В официальном списке изменений обновления данная мера была описана лишь как исправление отрисовки анимаций.