У десктопній версії Telegram виявили небезпечну вразливість, яка дозволяє зловмисникам викрадати файли з комп’ютера та отримувати доступ до чужих акаунтів через одне шкідливе посилання. Для атаки достатньо, щоб користувач відкрив спеціально підготовлену адресу, після чого месенджер може самостійно передати конфіденційні дані хакерам.
Дослідник кібербезпеки під псевдонімом BeakSec розкрив деталі вразливості Telegram Desktop, яка зачіпає версії застосунку до 7.2.9. Помилка дозволяє виконувати приховані внутрішні команди, отримувати доступ до локальних файлів і викрадати дані авторизації, необхідні для відновлення чужої сесії Telegram.
Проблему виправили у версії 7.2.9, випущеній 17 вересня 2026 року. На момент публікації новини вже доступна версія 7.3, яка вийшла 9 жовтня з коротким описом оновлення, що складається лише з одного слова: «Money».
«Хтось додає вас до групи Telegram. У чаті з’являється посилання. Ви натискаєте на нього, і ваш акаунт Telegram уже належить не лише вам», – пояснює BeakSec.
Причиною проблеми стала неправильна обробка спеціальних символів у посиланнях. Telegram Desktop використовує крапку з комою (;) для розділення внутрішніх команд, але вразливі версії застосунку не забезпечували належного екранування цього символу.
Зловмисники можуть скористатися помилкою, створивши спеціальне посилання формату tg://, у якому після крапки з комою розміщуються додаткові команди. Замість того щоб сприймати таку адресу як єдине посилання, Telegram може обробити її частини як окремі інструкції.
Сам механізм має певні обмеження. Застосунок підтримує лише чотири типи команд, три з яких не становлять безпосередньої загрози. Однак четверта команда відкриває доступ до внутрішнього обробника interpret:, який і став ключовим елементом атаки.
Цей механізм спочатку створили для внутрішніх потреб розробників Telegram, зокрема автоматизації публікації нових версій застосунку. Він може прочитати файл із локального диска та надіслати його до вказаного чату без додаткового підтвердження користувача.
Проблема в тому, що обробник не перевіряв, хто саме ініціював відповідну операцію. У поєднанні з помилкою обробки посилань це дозволяло стороннім особам викликати привілейовані функції через спеціально підготовлену адресу.
BeakSec продемонстрував сценарій атаки, у якому зловмисник створює супергрупу Telegram та додає до неї потенційну жертву. Стандартні налаштування приватності месенджера можуть дозволяти таке додавання без окремого підтвердження.
Після цього атакувальник публікує у групі три спеціально підготовлені текстові файли формату .txt. За стандартних налаштувань Telegram Desktop автоматично завантажує файли з групових чатів розміром до 8 МіБ, тому вони можуть опинитися на комп’ютері користувача ще до будь-яких активних дій із його боку.
Далі в чаті з’являється звичайне на вигляд HTTPS-посилання. Насправді воно веде на контрольований зловмисником сервер, який перенаправляє користувача на спеціально сформовану адресу tg:// із прихованими командами.
Коли жертва натискає на посилання, браузер обробляє перенаправлення, а операційна система може запустити другий процес Telegram. Той передає адресу вже відкритому екземпляру месенджера, де через помилку обробки роздільників запускаються додаткові інструкції.
У результаті Telegram може самостійно прочитати потрібні файли та надіслати їх до групи, яку контролює атакувальник. Підтвердження на передавання файлів сам застосунок не запитує, хоча браузер у деяких випадках може попросити дозволу відкрити зовнішній застосунок.
У продемонстрованій атаці зловмисник націлюється на три файли, які використовуються для зберігання локальної сесії Telegram. Йдеться про ключ шифрування, дані авторизації та індекс збереженої інформації облікового запису.
Для пошуку потрібних файлів застосовуються відносні шляхи. Завдяки цьому атакувальнику необов’язково знати ім’я користувача Windows або точне розташування його домашньої папки.
Отримавши ці файли, хакер може перенести їх до нового екземпляра Telegram Desktop та відновити сесію жертви. Це дозволяє отримати доступ до облікового запису без звичайного входу через номер телефону, якщо користувач не встановив локальний пароль для застосунку.
Водночас можливості вразливості не обмежуються викраденням Telegram-акаунтів. За словами дослідника, аналогічний механізм потенційно дозволяє отримувати інші файли з комп’ютера, зокрема приватні SSH-ключі, сховища паролів браузерів, хмарні облікові дані та конфігураційні файли з API-токенами.
Особливу роль у цьому сценарії відіграє локальний пароль Telegram Desktop. За замовчуванням він не встановлений, тому викрадені файли сесії можуть бути використані для відновлення доступу. Якщо ж користувач налаштував надійний локальний пароль, це суттєво ускладнює використання викрадених даних.
Проблему зареєстрували під ідентифікатором CVE-2026-107181. За шкалою CVSS 4.0 вона отримала 8,6 бала з 10, що відповідає високому рівню небезпеки. За попередньою версією методики CVSS 3.1 оцінка становить 8,1 бала.
Дослідник повідомив про проблему через Zero Day Initiative (ZDI) ще 25 червня 2026 року. Однак Telegram самостійно усунув її 16 вересня, а вже наступного дня випустив оновлення 7.2.9.
Виправлення прибрало небезпечний внутрішній обробник interpret: та змінило механізм передавання команд між процесами Telegram. Тепер спеціальні символи в адресах обробляються безпечніше, а додаткові перевірки запобігають виконанню підозрілих інструкцій.
Цікаво, що виправлення вийшло без окремого повідомлення про вразливість. У списку змін версії 7.2.9 згадувалося лише усунення проблеми з відображенням інтерфейсу, а відповідний коміт мав технічну назву, яка не вказувала на небезпечну помилку безпеки.
30 вересня ZDI закрила звернення, оскільки проблему вже було виправлено. 3 жовтня BeakSec опублікував технічний розбір атаки, а 7 жовтня вразливості присвоїли CVE-ідентифікатор.
Насамперед дослідник рекомендує оновити Telegram Desktop до версії 7.2.9 або новішої. Саме оновлення усуває вразливість, тоді як інші заходи лише знижують ризик успішної атаки.
Додатково варто обмежити коло людей, які можуть додавати вас до груп, встановити надійний локальний пароль для Telegram Desktop та ввімкнути параметр «Запитувати, куди зберігати кожен файл». Останній вимикає автоматичне завантаження файлів, через яке зловмисники можуть розміщувати підготовлені інструкції на комп’ютері.
Локальний пароль не заважає викраденню файлів, але захищає збережену сесію від використання на іншому пристрої. Обмеження запрошень до груп також ускладнює реалізацію описаного сценарію.
Варто враховувати, що дослідник продемонстрував атаку на Windows. Уразливими визначено версії Telegram Desktop до 7.2.9, але це не означає, що аналогічний сценарій був окремо підтверджений для кожної операційної системи.
Випадок із Telegram Desktop показує, як помилки у внутрішніх механізмах застосунку можуть перетворити звичайне посилання на інструмент викрадення конфіденційних файлів і доступу до акаунтів. Вразливість уже виправлена, тому головне для користувачів не залишатися на застарілих версіях месенджера.
