Исследователи безопасности BeakSec обнаружили критическую уязвимость в Telegram для ПК, получившую идентификатор CVE-2026-107181 и оценку 8,6 балла по шкале CVSS. Брешь позволяла злоумышленникам скрытно похищать файлы с компьютера пользователя после перехода по специально сформированной ссылке.
Проблема заключалась в некорректной обработке ссылок вида tg://, что позволяло хакерам активировать служебный обработчик interpret:. Это давало возможность считывать данные с диска и отправлять их в чат без подтверждения. Под угрозой находились файлы сессии из папки tdata, позволяющие получить доступ к аккаунту.
Сведения об уязвимости были переданы через программу Zero Day Initiative 25 июня 2026 года. Telegram устранил проблему в версии 7.2.9, выпущенной 17 сентября 2026 года, удалив опасный обработчик. В официальном списке изменений этой версии значились только исправления анимаций.
На 9 октября 2026 года случаев эксплуатации данной уязвимости не зафиксировано. Разработчики рекомендуют обновить Telegram Desktop до версии 7.2.9. Дополнительными мерами защиты эксперты называют установку локального код-пароля для шифрования файлов сессии и ограничение настроек конфиденциальности.
