Хакерите могат да се възползват от критична уязвимост в Telegram, за да откраднат контрола над акаунти и да извлекат файлове на потребителите само с едно кликване. В Telegram Desktop, преди версия 7.2.9, която беше пусната на 17 септември е открита сериозна уязвимост.

„Някой ви добавя в група в Telegram. В чата се появява линк. Кликвате върху него и профилът ви в Telegram вече не е само ваш.“

заяви изследовател по сигурността, известен под псевдонима BeakSEK

Изследователят обяснява в GitHub, че уязвимите версии на приложението Telegram Desktop не обработват правилно определени символи в линковете – по-точно не успяват да екранират точката и запетая. Самият Telegram използва символа точка и запетая (;) за разделяне на инструкциите. Хакерът може да се възползва от това, за да добави злонамерени команди в специално създадени линкове от типа tg://. Например, хакерът може да изпрати линк със злонамерени команди, разделени със точка и запетая, а приложението ги третира като легитимни команди. Вторият проблем е свързан с това, до какво достига инжектираната команда. На разположение на атакуващите са само 4 команди, като 3 от тях са безвредни.

„Нападателите могат да достигнат до обработващия модул на схемата „interpret:“, за да качат локални файлове, включително сесийни ключове „tdata“, в канал на нападателя, което позволява поемане на контрола върху акаунта.“

се посочва в описанието в Националната база данни за уязвимости на NIST

Вътрешната функция „interpret:“ може да извърши действие с привилегии – да прочете всеки файл на диска и да го изпрати в чата, без да изисква потвърждение. Този инструмент е бил предназначен за доверена вътрешна употреба от разработчиците на Telegram, но не е проверявал кой е поискал действието. Уязвимостта е оценена с 8,6 от 10 по скалата за сериозност CVSS, и ѝ е присвоен идентификатор CVE-2026-10718.

Как би изглеждала реална атака?

Изследователят описа подробно доказателство за концепцията, при което атакуващият създава супергрупа в Telegram и добавя жертви, което е възможно според настройките за поверителност по подразбиране на Telegram. В групата атакуващият публикува 3 специално създадени файла с инструкции в .txt формат, а Telegram автоматично ги изтегля на устройствата на жертвите.

Telegram Desktop в стандартната си конфигурация изтегля автоматично файлове, получени в групи, с размер до 8 MiB (мебибайта). След това хакерът публикува линк, който може да изглежда безобиден – той пренасочва към злонамерен tg: линк, съдържащ вмъкнати команди. Ако жертвата кликне върху него, системата ѝ ще стартира втори процес на Telegram и ще се задейства изпълнението на командата. Приложението Telegram ще разкрие файлове, които позволяват на хакера да възстанови сесията и акаунта на жертвата.

Трите файла с инструкции посочват кои файлове да бъдат извлечени: локален ключ за криптиране, данни за авторизация на сесията и индекс на съхранените данни на акаунта. Относителните пътища позволяват намирането на местоположенията, без да е необходимо да се знае потребителското име на жертвата в Windows. След това атакуващият може просто да прехвърли откраднатите файлове в нов екземпляр на Telegram и да възстанови сесията на жертвата, ако не е зададен локална парола.

BeakSec призовава потребителите да актуализират приложенията Telegram Desktop до най-новата налична версия и да ограничат кои потребители могат да ги добавят към групи. Изследователят препоръчва също така да се зададе локална парола и да се активира опцията „Питай къде да се запази всеки файл преди изтегляне“ – това спира автоматичното изтегляне на файлове.