Безопасность 9 октября 2026, 15:26 МСК

В Telegram для ПК закрыли уязвимость CVE-2026-107181, позволявшую красть файлы

Исследователи BeakSec описали уязвимость в Telegram для ПК, которая давала возможность украсть файлы с компьютера после одного клика по ссылке; исправление вышло в версии 7.2.9.

Уязвимость CVE-2026-107181 получила 8,6 балла из 10 по шкале CVSS. Ей подвержены все версии клиента до 7.2.9. Исследователи проверили атаку на Windows и опубликовали рабочий эксплойт.

Проблема была в обработке ссылок tg://. Команды в локальном сокете разделяются точкой с запятой, но в ссылке этот символ не экранировался, поэтому можно было внедрить дополнительные команды. Через служебный обработчик interpret: файлы читались с диска и отправлялись в чат без подтверждения. Главной целью были файлы сессии из папки tdata, которые позволяют войти в аккаунт без повторной авторизации.

BeakSec передали данные через Zero Day Initiative 25 июня 2026 года. Telegram исправил ошибку в версии 7.2.9 от 17 сентября: обработчик удалили, а разделитель теперь экранируется. В списке изменений при этом упомянуто лишь исправление отрисовки анимаций. Случаев эксплуатации в реальных атаках на 9 октября не зафиксировано.

Рекомендуется обновить Telegram Desktop до 7.2.9 или новее. Пользователям неофициальных клиентов советуют временно перейти на официальный. Кроме того, BeakSec рекомендует включить локальный код-пароль, который шифрует файлы сессии.

• Оценка CVSS — 8,6 из 10
• Уязвимы версии до 7.2.9
• Эксплуатации в реальных атаках не зафиксировано