В Telegram Desktop закрыли дыру с угоном аккаунта и кражей файлов по одному клику
Сценарий до обидного простой. Вас без спроса кидают в какую-то группу - для нашей публики почти ежедневная история - а в ней уже ждёт безобидная на вид ссылка. Один клик, и с машины начинают утекать файлы: захваты, прошивки, документы, SSH-ключи, сохранённые сессии браузера. Речь про CVE-2026-107181 в клиентах Telegram Desktop до версии 7.2.9 (оценка 8.1 из 10).
Механика в двух словах. Из-за ошибки в разборе ссылок схемы tg:// подготовленная ссылка, открытая вне Telegram (через переадресацию с обычной https-страницы), читалась клиентом не как одна команда, а как несколько. Одна из них служебная: берёт файл с диска и шлёт в чужой чат. Ни подтверждения, ни даже окошка «вы точно хотите». Клик - и всё.
И на угоне аккаунта оно не останавливается. Сессию tdata уносят первой - это сразу чужой вход в вашу телегу, пароль к учётке даже не нужен, забрали сессию - забрали аккаунт. Но следом утечь может любой файл, до которого у вас есть доступ, от рабочих конфигов до криптокошелька.
Что делать, по убыванию пользы:
⚙️ Обновиться до 7.2.9 или новее. Только это закрывает дыру целиком. Сидите на неофициальном клиенте - временно вернитесь на официальный.
⚙️ Не выходит обновиться прямо сейчас - включите «спрашивать, куда сохранять каждый файл». Тогда вредоносный файлик на диск вообще не ляжет, и цеплять будет нечего. Самая действенная мера после обновления.
⚙️ Закройте добавление в группы всем, кроме контактов. Украденное атакующему некуда девать, кроме своего канала или супергруппы - заберите у него эту площадку.
⚙️ Поставьте локальный код-пароль, нормальный, не «1234». Файлы он не спасёт, зато уведённую сессию сделает бесполезной: без пароля её не расшифровать.
Отдельно стоит знать: заплатку выкатили тихо. В списке изменений 7.2.9 упомянута только правка отрисовки, отдельного бюллетеня не было. Так что многие до сих пор сидят на уязвимой версии просто потому, что шума никто не поднял. Гляньте свою.
Полезная Нагрузка
Сценарий до обидного простой. Вас без спроса кидают в какую-то группу - для нашей публики почти ежедневная история - а в ней уже ждёт безобидная на вид ссылка. Один клик, и с машины начинают утекать файлы: захваты, прошивки, документы, SSH-ключи, сохранённые сессии браузера. Речь про CVE-2026-107181 в клиентах Telegram Desktop до версии 7.2.9 (оценка 8.1 из 10).
Механика в двух словах. Из-за ошибки в разборе ссылок схемы tg:// подготовленная ссылка, открытая вне Telegram (через переадресацию с обычной https-страницы), читалась клиентом не как одна команда, а как несколько. Одна из них служебная: берёт файл с диска и шлёт в чужой чат. Ни подтверждения, ни даже окошка «вы точно хотите». Клик - и всё.
И на угоне аккаунта оно не останавливается. Сессию tdata уносят первой - это сразу чужой вход в вашу телегу, пароль к учётке даже не нужен, забрали сессию - забрали аккаунт. Но следом утечь может любой файл, до которого у вас есть доступ, от рабочих конфигов до криптокошелька.
Что делать, по убыванию пользы:
⚙️ Обновиться до 7.2.9 или новее. Только это закрывает дыру целиком. Сидите на неофициальном клиенте - временно вернитесь на официальный.
⚙️ Не выходит обновиться прямо сейчас - включите «спрашивать, куда сохранять каждый файл». Тогда вредоносный файлик на диск вообще не ляжет, и цеплять будет нечего. Самая действенная мера после обновления.
⚙️ Закройте добавление в группы всем, кроме контактов. Украденное атакующему некуда девать, кроме своего канала или супергруппы - заберите у него эту площадку.
⚙️ Поставьте локальный код-пароль, нормальный, не «1234». Файлы он не спасёт, зато уведённую сессию сделает бесполезной: без пароля её не расшифровать.
Отдельно стоит знать: заплатку выкатили тихо. В списке изменений 7.2.9 упомянута только правка отрисовки, отдельного бюллетеня не было. Так что многие до сих пор сидят на уязвимой версии просто потому, что шума никто не поднял. Гляньте свою.
Полезная Нагрузка