Старые версии Telegram Desktop оказались уязвимы для кражи файлов

В настольном клиенте Telegram нашли уязвимость, которая позволяла злоумышленнику похитить файлы с компьютера и, при определённых условиях, получить доступ к аккаунту. Проблема затрагивает версии ниже 7.2.9. Сама версия 7.2.9 и все более новые уже защищены.

Запись CVE-2026-107181 в официальном реестре CVE опубликована 7 октября. Уязвимость получила оценку 8,6 из 10 по шкале CVSS 4.0, то есть высокий уровень опасности.

Сразу важное: Telegram закрыл дыру ещё в сентябре, до публикации подробного разбора. Если приложение обновляется автоматически, скорее всего, исправление у вас уже стоит. Но проверить версию всё равно стоит, особенно на компьютере, который редко перезагружается и годами живёт с открытым Telegram.

Как работала атака

Проблема была в обработке ссылок вида tg://, которые открывают действия внутри приложения. Когда Telegram Desktop уже работал, второй запущенный процесс передавал ему ссылку через внутренний канал. Специально составленная ссылка могла подмешать туда лишнюю команду.

Дальше использовался старый служебный механизм клиента. Он умел читать указанный файл с диска и отправлять его в канал или супергруппу без отдельного подтверждения. В итоге атакующий мог добраться не только до обычных документов, но и до локальных данных сессии.

Если по-простому: жертве присылали обычную веб-ссылку, она открывала её в браузере, а сайт перенаправлял запрос обратно в настольное приложение. Исследователь подтвердил работу цепочки на Windows. Для macOS и Linux такой сценарий в опубликованном разборе не демонстрировался.

Это не означало, что любой случайный пост мог тихо украсть аккаунт сам по себе. Атакующему требовалось подготовить цепочку, заманить человека в подконтрольную группу и убедить его открыть ссылку. Но одного успешного клика при подходящих условиях было достаточно. Не без нюансов, как обычно, но нюансы тут совсем не успокаивающие.

Почему локальный пароль имел значение

Telegram Desktop хранит сессию на компьютере в зашифрованном виде. Если пользователь не установил локальный пароль приложения, украденные служебные файлы можно было использовать для восстановления активной сессии на другом компьютере.

Локальный пароль усложнял захват аккаунта, но не устранял саму возможность кражи файлов. Поэтому считать его заменой обновлению нельзя. Это как поставить хороший замок на один ящик, оставив окно открытым 😅

Не стоит путать локальный пароль с облачным паролем двухэтапной аутентификации. Первый защищает данные Telegram на конкретном компьютере, второй нужен при входе в аккаунт. Оба полезны, но закрывает эту уязвимость именно обновление клиента.

Что нужно сделать

Откройте меню Telegram Desktop и проверьте обновления. Безопасный минимум для этой проблемы — версия 7.2.9, однако ставить лучше самую свежую доступную сборку. На момент подготовки заметки в официальном репозитории уже опубликована версия 7.3.1.

После обновления полезно сделать ещё три вещи:

• включить локальный пароль в настройках конфиденциальности;
• ограничить добавление в группы пользователями из списка контактов;
• проверить список активных сеансов и завершить незнакомые.

И не открывайте неожиданные ссылки, если после перехода браузер просит запустить Telegram. Похожий приём используют и в более простых схемах: на telegid.me уже разбирали угон аккаунтов через фальшивый переезд в новый чат. Там крадут код входа, здесь использовалась ошибка настольного клиента, но ставка одна и та же: человек торопится и нажимает не глядя.

Исправление уже выпущено

Разработчики внесли исправление 16 сентября, а Telegram Desktop 7.2.9 появился 17 сентября. В коде удалили опасный служебный обработчик и изменили передачу команд между процессами, чтобы специальный символ внутри ссылки больше не воспринимался как разделитель.

Отдельного предупреждения об уязвимости в примечаниях к версии 7.2.9 не было: там упоминалось только исправление отображения анимаций. Публичные технические подробности появились позже, а номер CVE присвоили 7 октября.

Подтверждений реальных атак через эту уязвимость в проверенных источниках нет. Поэтому паниковать и срочно удалять настольное приложение не нужно. Проверить обновление, локальный пароль и активные сеансы можно за пару минут. Вот это как раз стоит сделать.