Telegram Desktop 被曝一键窃取任意文件漏洞

Telegram Desktop 7.2.9 以下版本存在严重漏洞（CVE-2026-107181），用户点击恶意 tg:// 链接后，系统文件可在无确认的情况下被悄悄窃取。

漏洞源于链接中的分号未转义、被当作独立 IPC 命令，配合 interpret: 处理器可盗取文档、浏览器会话、SSH 密钥、加密钱包等任意文件。官方已在 7.2.9 修复，建议尽快升级、警惕异常 tg:// 链接并启用本地密码。

Telegram Desktop高危漏洞可致账户被接管，7.2.9版本已修复

PANews 10月9日消息，据安全研究员BeakSec披露，Telegram Desktop此前存在高危漏洞CVE-2026-107181。攻击者可预先将指令文件放入受害者所在群组，再诱导其点击经浏览器重定向的链接，利用进程间通信命令注入将本地文件发送至攻击者控制的群组；若窃得会话文件且用户未设本地密码，账户可能被接管。研究员称7.2.8及之前版本受影响，漏洞已在9月17日发布的7.2.9版本修复。