Telegram Desktop · Divulgada

Telegram Desktop corrige tomada de conta com um clique na 7.2.9

15 de set. de 2026 · 1 min de leitura

A CVE-2026-107181 (CVSS 8.6) afeta o Telegram Desktop antes da 7.2.9. Um link tg:// malicioso faz o aplicativo enviar arquivos locais, incluindo chaves de sessão do diretório tdata, para um canal controlado pelo atacante, o que permite a tomada da conta da vítima. A correção saiu na versão 7.2.9; atualize o cliente.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 2 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha no Telegram Desktop, nas versões anteriores à 7.2.9, permite que um link malicioso faça o aplicativo enviar arquivos locais, incluindo as chaves de sessão, para um canal controlado pelo atacante. Quem abre o link pode ter a conta do Telegram tomada. A correção saiu na versão 7.2.9.

Por que importa

Qualquer usuário que abrir um link tg:// falsificado pode perder o controle da conta do Telegram, com acesso a conversas e contatos. A exploração exige apenas engenharia social, sem execução de código local, e pode ser automatizada por sites maliciosos, segundo as fontes. A gravidade é alta (CVSS 8.6).

O que fazer

Atualize o Telegram Desktop para a versão 7.2.9 ou posterior em todas as máquinas. Oriente os usuários a não abrir links tg:// de origem desconhecida.

Para o time técnico

CVE: CVE-2026-107181
Afetados: Telegram Desktop · Telegram Desktop anterior a 7.2.9 (7.2.8 e anteriores).
Exploração: Sem exploração em campo relatada nas fontes; sem entrada no KEV e EPSS indisponível. Write-up técnico publicado pela beaksec; as fontes descrevem a exploração como simples, viável por engenharia social e automatizável por sites maliciosos.
Correção: Atualizar para Telegram Desktop 7.2.9 ou posterior.
Vetor: Injeção de separador de registro IPC (CWE-143) no componente Core::Sandbox. Links tg:// com ponto e vírgula não escapados injetam registros OPEN: e acionam o handler interpret:, que pode enviar arquivos locais para um canal controlado pelo atacante. Não exige execução de código local; exploração remota via engenharia social, e o tráfego ao handler interpret: é normalmente permitido.
Mais detalhes: Documentada em write-up da beaksec e no OpenCVE. CVSS 8.6. Os arquivos visados incluem chaves de sessão no diretório tdata; com a chave de sessão, o atacante assume a conta da vítima. Início em 2026-09-16, conforme a fonte beaksec.