Уязвимость в Telegram для ПК позволяла красть файлы через ссылки

Уязвимость, получившая идентификатор CVE-2026-107181 и оценку 8,6 балла по шкале CVSS, затрагивала все версии клиента до 7.2.9. Механизм атаки был завязан на некорректной обработке ссылок формата tg://. При переходе по вредоносной ссылке запускался процесс, передававший команды основному приложению. Из-за отсутствия экранирования символов атакующие могли внедрять дополнительные инструкции, вызывая служебный обработчик interpret: для скрытого считывания файлов.

Основным вектором атаки была папка tdata, содержащая файлы сессии. Получив их, злоумышленник мог полностью перехватить контроль над аккаунтом без необходимости повторной авторизации. Разработчики Telegram устранили проблему в сентябре 2026 года, удалив опасный обработчик и исправив логику работы с командами. Эксперты BeakSec подчеркивают: на текущий момент зафиксированных случаев эксплуатации бреши в реальных атаках нет. Чтобы обезопасить устройство, пользователям необходимо обновить Telegram Desktop до версии 7.2.9 или новее, а также установить локальный код-пароль, который шифрует данные сессии и делает их бесполезными при попытке кражи.