⚡️ Уязвимость в Telegram Desktop позволяла красть файлы и угонять аккаунты

Исследователь BeakSec обнаружил в десктопном клиенте Telegram уязвимость CVE–2026–107181, которая позволяла похищать локальные файлы и захватывать аккаунты. Для атаки было достаточно перейти по вредоносной ссылке. Проблема затрагивала версии до 7.2.9, сейчас она устранена.

Как это работало:

🟠 Telegram Desktop некорректно обрабатывал ссылки формата tg:// — не экранировал символ ;

🟠 Через внедрённую команду OPEN: можно было получить доступ к внутреннему обработчику interpret:

🟠 Обработчик выполнял привилегированные операции — включая чтение файлов с диска и отправку их в чат

Как обезопасить себя:

✔️ Обновиться до версии Telegram Desktop 7.2.9 или выше

✔️ Ограничить добавление в группы

✔️ Отключить автозагрузку медиа

✔️ Установить код-пароль для входа в аккаунт

Уязвимость уже исправлена, но если вы не обновились — вы в зоне риска.

💬 Servicepipe в VK