В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость CVE-2026-107181: клик по специально подготовленной ссылке tg://i без какого-либо подтверждения пользователя позволял злоумышленнику скрытно отправить файлы с его компьютера в свой Telegram-канал.

Проблема опасна не только перехватом аккаунта через файлы сессии tdatai — под угрозой оказывались вообще любые файлы, доступные пользователю: документы, сохранённые сессии браузеров, SSH-ключи, системные конфигурации и криптокошельки. Всем пользователям рекомендовано немедленно обновиться до версии 7.2.9 или выше.

• Причина уязвимости — отсутствие экранирования разделителя «;» в параметрах ссылок схемы tg://, из-за чего они распознавались клиентом как отдельные IPC-командыi
• Эксплуатация шла через служебный обработчик interpret:, позволявший злоумышленнику отправлять команды на выгрузку файлов без подтверждения жертвы
• Атака работала в один клик по заранее подготовленной ссылке — пользователь не получал никаких предупреждений
• Рекомендация по защите: установить локальный код-пароль в клиенте — он шифрует файлы сессии в каталоге tdata, что не даёт мгновенно угнать аккаунт даже при утечке этих файлов
• Совет при переходе по ссылкам на старых версиях: внимательно читать всплывающее окно Telegram и не кликать, если структура ссылки выглядит подозрительно (начинается с tg://)
• Скачать обновлённый клиент можно на официальном сайте и GitHub (Windows/macOS/Linux), в Microsoft Store (Windows), App Store (macOS), а также Flathub и Snapcraft (Linux)
• Пользователям неофициальных (сторонних) клиентов Telegram рекомендовано временно перейти на официальное приложение, пока не выйдет аналогичное обновление для их версии