Уязвимость, получившая идентификатор CVE-2026-107181 и оценку 8,6 балла по шкале CVSS, затрагивала все версии клиента до 7.2.9. Механизм атаки был завязан на некорректной обработке ссылок формата tg://. При переходе по вредоносной ссылке запускался процесс, передававший команды основному приложению. Из-за отсутствия экранирования символов атакующие могли внедрять дополнительные инструкции, вызывая служебный обработчик interpret: для скрытого считывания файлов.
Уязвимость в Telegram для ПК позволяла красть файлы через ссылки
Исследователи из BeakSec обнаружили критическую брешь в десктопной версии Telegram, позволявшую злоумышленникам похищать личные данные с компьютера жертвы. Ошибка в обработке ссылок открывала доступ к файлам системы без ведома пользователя, что ставило под угрозу как сессионные ключи аккаунтов, так и любые документы, доступные владельцу устройства.
Основным вектором атаки была папка tdata, содержащая файлы сессии. Получив их, злоумышленник мог полностью перехватить контроль над аккаунтом без необходимости повторной авторизации. Разработчики Telegram устранили проблему в сентябре 2026 года, удалив опасный обработчик и исправив логику работы с командами. Эксперты BeakSec подчеркивают: на текущий момент зафиксированных случаев эксплуатации бреши в реальных атаках нет. Чтобы обезопасить устройство, пользователям необходимо обновить Telegram Desktop до версии 7.2.9 или новее, а также установить локальный код-пароль, который шифрует данные сессии и делает их бесполезными при попытке кражи.
Комментарии (0)
Пока нет комментариев. Будьте первым!