Критическая уязвимость в Telegram Desktop затронула пользователей десктопного клиента и могла привести к краже локальных файлов и захвату сессии. Для атаки хватало перехода по вредоносной ссылке, а проблема касалась версий до 7.2.9.

Что произошло и почему это опасно

ИБ-исследователь BeakSec нашёл в клиенте CVE-2026-107181. Слабое место спряталось в обработке ссылок формата tg://: мессенджер некорректно разбирал команды и не экранировал символ ;.

Из-за этого злоумышленник мог подсунуть дополнительные инструкции и заставить приложение выполнить их как обычные внутренние команды. В худшем случае это открывало доступ к локальным файлам, включая те, что лежат в служебной папке tdata.

Как работала схема атаки

Атака строилась вокруг вредоносной ссылки и группы в мессенджере. Сначала жертву добавляли в чат, потом туда подбрасывали служебные файлы с инструкциями, которые клиент загружал автоматически.

Дальше пользователь переходил по ссылке, которая уводила его в формат tg://. Второй экземпляр приложения передавал команды уже запущенному клиенту, а тот обращался к внутреннему обработчику и вытаскивал указанные файлы.

По сути, это был не трюк с паролем, а ошибка логики в самом клиенте. Подобные случаи особенно неприятны тем, что выглядят как обычное действие пользователя — переход по ссылке из чата.

Для сравнения: похожий риск мы уже видели в других продуктах, где уязвимость в связке «ссылка — локальная команда» быстро превращалась в практическую атаку. Об этом хорошо напоминают разборы вроде дыры в SonicWall SMA 1000, где после патча злоумышленники тоже быстро нашли рабочие сценарии.

Что именно могли украсть

В демонстрации исследователь показал кражу служебных файлов из tdata. Среди них были данные, связанные с шифрованием локальной информации и авторизационной сессией.

Это важно по простой причине: если атакующий получает такие файлы, он может попытаться восстановить доступ к аккаунту или вытащить другие данные, к которым клиент уже получил доступ на машине. В зависимости от того, что лежит на устройстве, последствия могут выйти далеко за пределы одного чата.

Отдельный риск — автоматическая загрузка вложений. Если клиент сам тянет файлы из групп, пользователь может даже не заметить, что на диск уже попала часть атаки.

Какие есть варианты защиты

Первый и самый очевидный шаг — обновить клиент до последней версии. В релизе 7.2.9 разработчики закрыли проблему и убрали внутренний механизм, который использовали в атаке.

Второй шаг — ужесточить настройки приватности. Стоит ограничить, кто может добавлять вас в группы, и отключить автоматическое скачивание файлов из чатов, если оно вам не нужно.

Третий — поставить локальный код-пароль. Он не спасёт от всех сценариев, но добавит барьер, если кто-то попытается завладеть сессией на уже доступном устройстве.

Если у вас рабочий ноутбук, где мессенджер хранит документы и переписку, имеет смысл заранее подготовить устройство к поездкам и публичным сетям. Для этого подойдёт [инструмент для защищённого подключения]https://freedome.space, если вы часто работаете вне офиса и не хотите светить трафик в чужой сети.

Кому что делать в первую очередь

Обычным пользователям достаточно обновиться, проверить настройки групп и убрать автозагрузку файлов, если она включена без необходимости. Это быстро и закрывает самый массовый риск.

Фрилансерам и тем, кто хранит в мессенджере рабочие документы, лучше пойти дальше: обновление, код-пароль, контроль сессий и аккуратность с любыми ссылками из чатов. Здесь ошибка может стоить не только переписки, но и файлов с договорами, сканами и доступами.

Компаниям стоит включить это в базовую гигиену рабочих устройств. Если сотрудник использует мессенджер для документов и служебных контактов, нужно отдельно объяснить, почему опасны даже «обычные» ссылки из группы.

Что сделать прямо сейчас

  • Проверить версию клиента и обновить Telegram Desktop до актуальной.
  • Отключить автозагрузку файлов из групп и каналов, если она не нужна.
  • Ограничить, кто может добавлять вас в группы и писать первым.
  • Включить локальный код-пароль на устройстве с мессенджером.
  • Не открывать ссылки из чатов, если источник сообщения вызывает сомнения.
  • Проверить активные сеансы и выйти из лишних устройств.
  • Если вы храните в мессенджере документы, перенесите их в отдельное защищённое хранилище.

Если вам регулярно прилетают подозрительные сообщения в мессенджерах, полезно освежить и базовые признаки социальной инженерии — об этом мы подробно писали в материале о фишинговых приёмах в чатах.

Поделиться: