Уразливість Telegram Desktop дозволяла викрадати файли та дані сесії: як захиститися

У Telegram Desktop виявили критичну для конфіденційності користувачів помилку, яка дозволяла зловмисникам отримувати локальні файли через спеціально сформовані посилання. Уразливість CVE-2026-107181 зачіпала версії месенджера до 7.2.9 і потенційно давала змогу викрасти дані активної сесії Telegram. Проблему вже виправили, але користувачам старих версій необхідно оновити застосунок.

Key Takeaways

• Уразливість отримала ідентифікатор CVE-2026-107181 та оцінку 8,6 із 10 за CVSS 4.0.
• Під загрозою перебували версії Telegram Desktop до 7.2.9.
• Атака використовувала помилку обробки внутрішніх команд під час відкриття спеціально сформованого посилання.
• Зловмисник міг отримати локальні файли, включно з даними сесії Telegram, без окремого підтвердження надсилання.
• Telegram Desktop 7.2.9 вийшов 17 вересня 2026 року, а подробиці уразливості опублікували 7 жовтня.
• Для захисту потрібно встановити версію 7.2.9 або новішу та перезапустити програму.

Як працювала уразливість Telegram Desktop

Проблему виявив дослідник безпеки Еміліано Версіні (Emiliano Versini). Вона була пов’язана з механізмом міжпроцесної взаємодії Telegram Desktop — IPC, який використовується, зокрема, для передавання команд між екземплярами застосунку.

Коли користувач відкриває Telegram-посилання із зовнішнього застосунку, операційна система може передати його вже запущеному месенджеру. У вразливих версіях спеціальні символи в такому посиланні оброблялися некоректно.

Зокрема, через недостатнє екранування роздільників команд зловмисник міг змусити Telegram Desktop інтерпретувати частину переданих даних як додаткову внутрішню інструкцію.

Це відкривало доступ до внутрішнього механізму, який міг прочитати локальний файл і передати його через Telegram. Уразливість не вимагала окремого підтвердження саме операції надсилання файлу.

Важливо: звичайне HTTPS-посилання саме по собі не означає автоматичного викрадення даних. Для експлуатації потрібен спеціально підготовлений сценарій, який зрештою передає шкідливе посилання Telegram Desktop.

Які дані могли викрасти з комп’ютера

Головна небезпека CVE-2026-107181 — можливість читання локальних файлів у межах прав, які має запущений Telegram Desktop.

Потенційними цілями могли бути документи, конфігураційні файли, збережені облікові дані та інша інформація, доступна користувацькому процесу.

Особливо небезпечним сценарієм було викрадення файлів Telegram із каталогу tdata, де зберігаються дані локальної сесії месенджера.

Якщо зловмиснику вдавалося отримати придатні для використання дані авторизованої сесії, це потенційно дозволяло отримати доступ до облікового запису без звичайної процедури входу за номером телефону.

Водночас наявність уразливості не означає, що будь-який файл на комп’ютері можна було прочитати без обмежень. Доступ залежав від прав процесу, розташування файлів та умов конкретної атаки.

Чому двофакторна автентифікація не гарантувала захисту

Двоетапна перевірка Telegram захищає процедуру нового входу в обліковий запис. Але викрадення вже авторизованої сесії — інший сценарій.

Якщо атакувальник отримує придатні дані активної сесії, він потенційно може обійти необхідність повторного введення коду входу та хмарного пароля. Це не означає, що двоетапна перевірка марна: вона залишається важливим захистом від інших способів компрометації.

Локальний код-пароль Telegram також може створювати додатковий бар’єр для використання викрадених даних сесії. Проте його не слід вважати заміною виправлення уразливості.

Коли Telegram виправив помилку

За даними VulnCheck, уразливість зачіпала Telegram Desktop до версії 7.2.9. Відповідне виправлення присутнє у відкритому репозиторії проєкту.

Версія 7.2.9 була випущена 17 вересня 2026 року. При цьому в публічному описі релізу згадано лише виправлення некоректного відображення деяких анімацій tlottie. Інформації про усунення CVE-2026-107181 там немає.

Публічний запис про вразливість з’явився 7 жовтня 2026 року. VulnCheck класифікує її як High із показником CVSS 4.0 — 8,6 бала.

Наявність публічного технічного опису та виправлення не є доказом масових атак. На момент підготовки матеріалу немає підтверджених даних про кількість постраждалих користувачів.

Як захистити Telegram Desktop від CVE-2026-107181

Найважливіша дія — перевірити версію Telegram Desktop і встановити оновлення, якщо вона нижча за 7.2.9.

1. Перевірте версію. Відкрийте налаштування Telegram Desktop і знайдіть інформацію про встановлену версію застосунку.
2. Оновіть програму. Використовуйте офіційний механізм оновлення або завантажте актуальний Telegram Desktop з офіційного сайту.
3. Перезапустіть застосунок. Повністю закрийте Telegram Desktop і відкрийте його повторно, щоб переконатися, що оновлена версія працює.
4. Перевірте активні сеанси. У налаштуваннях пристроїв Telegram перегляньте список авторизованих пристроїв і завершіть незнайомі сеанси.
5. Не підтверджуйте підозрілі переходи. Якщо браузер несподівано пропонує відкрити Telegram після переходу за невідомим посиланням, відмовтеся від дії.

Якщо є підстави підозрювати компрометацію, варто завершити сторонні сеанси, перевірити захист облікового запису та оцінити можливий витік локальних конфіденційних файлів. Для робочих пристроїв доцільно залучити відповідального за інформаційну безпеку.

Офіційна сторінка завантаження: Telegram Desktop.

Чому це важливо для бізнесу та команд, які працюють із Telegram

Telegram використовується не лише для особистого листування. У робочих середовищах через нього можуть передаватися документи, контакти, внутрішні повідомлення та посилання на корпоративні ресурси.

Для affiliate-команд, власників Telegram-каналів, медіабаєрів і криптопроєктів компрометація активної сесії може створювати ризики несанкціонованого доступу до робочих чатів, адміністрування каналів і конфіденційної інформації.

Однак масштаб наслідків залежить від конкретних прав облікового запису та доступних йому ресурсів. Сам факт використання вразливої версії не означає, що пристрій уже зламано.

Висновок

CVE-2026-107181 демонструє, що навіть звичайна операція відкриття посилання може створювати ризик для локальних даних, якщо застосунок некоректно обробляє внутрішні команди.

Уразливість Telegram Desktop уже виправлена. Користувачам версій до 7.2.9 необхідно оновитися, а власникам робочих облікових записів — додатково перевірити активні сеанси та налаштування захисту.

Першими дізнавайтеся про головні події – ҐікNews.

Джерела для перевірки

Джерела для перевірки

VulnCheck — CVE-2026-107181. Офіційний запис організації, що присвоїла CVE: зачеплені версії, технічний механізм та оцінка критичності.
Опис уразливості CVE-2026-107181

Emiliano Versini — Telegram Desktop one-click account takeover. Технічний розбір дослідника, який виявив уразливість.
Оригінальне дослідження

Telegram Desktop — GitHub Release v7.2.9. Офіційний реліз від 17 вересня 2026 року та його публічний опис.
Telegram Desktop 7.2.9 на GitHub

Telegram Desktop — Security Patch. Зміни у вихідному коді, пов’язані з виправленням проблеми обробки внутрішніх команд.
Переглянути виправлення в GitHub

OpenCVE — CVE-2026-107181. Структурований запис CVE, дати розкриття, класифікація CWE та підтверджені версії.
Картка CVE-2026-107181