Telegram Desktop: Ein Klick konnte Sitzungsdateien stehlen

Ein Sicherheitsforscher hat einen funktionierenden Angriff für CVE-2026-107181 veröffentlicht, eine Lücke in Telegram Desktop, durch die ein einziger angeklickter Link Dateien vom Computer eines Nutzers stehlen konnte. Zu den gestohlenen Dateien konnten die Sitzungsdaten von Telegram gehören, mit denen ein Angreifer das Konto übernehmen kann. Betroffen sind Telegram Desktop 7.2.8 und älter, und Version 7.2.9 behebt den Fehler. Wer seit Mitte September nicht aktualisiert hat, sollte das jetzt tun.

Der Forscher, der unter dem Namen beaksec schreibt, veröffentlichte die vollständige Analyse am 3. Oktober. Der CVE-Eintrag schreibt den Fund Emiliano Versini zu. Daily CyberSecurity berichtete am 9. Oktober, dass Proof-of-Concept-Code öffentlich ist und dass keine Angriffe in freier Wildbahn bestätigt wurden.

Wie der Angriff funktioniert

Wenn Telegram Desktop bereits läuft und Sie auf einen tg://-Link klicken, übergibt eine zweite Instanz der App diesen Link an die laufende. Das geschieht über einen lokalen Socket, einen privaten Kanal zwischen Programmen auf demselben Rechner. Der Forscher stellte fest, dass dieser Kanal „das Zeichen, mit dem er Befehle trennt, niemals maskiert“. So lässt sich ein präparierter Link in mehrere Befehle aufteilen.

Einer dieser Befehle kann einen alten internen Linktyp interpret: öffnen. Dieser Handler liest eine benannte Datei von der Festplatte und sendet sie in einen Chat. „Die Funktion führt keine Berechtigungsprüfung durch“, heißt es in der Analyse, und sie fragt nicht nach einer Bestätigung.

Zusammengesetzt sieht die Kette so aus:

1. Der Angreifer fügt das Opfer einer Gruppe hinzu, und Telegram lädt automatisch eine kleine Textdatei in einen vorhersehbaren Ordner herunter. Das Standardlimit für automatische Downloads in Gruppen liegt bei 8 MiB.
2. Das Opfer klickt auf einen unauffällig wirkenden https-Link, der auf den präparierten tg://-Link weiterleitet. Der Browser zeigt womöglich zuerst eine Abfrage an.
3. Der eingeschleuste Befehl liest Dateien, etwa den Sitzungsordner tdata, und sendet sie an den Angreifer.
4. Ohne lokalen Passcode, was die Standardeinstellung ist, kann der Angreifer mit diesen Dateien die Sitzung klonen.

Laut Daily CyberSecurity umgeht das Klonen der Sitzung auf diesem Weg die Zwei-Faktor-Authentifizierung. Der Forscher bestätigte den Angriff unter Windows.

Der Fix und der Zeitablauf

Telegram behob den Fehler im Commit db3405699f mit dem Titel „Remove legacy interpret path helper“. Laut der Analyse entfernt der Fix das Schema interpret:, maskiert das Trennzeichen und verwirft lokale Dateipfade in bestimmten gemischten Anfragen.

Der Fix kam vor jeder öffentlichen Warnung. Der Zeitablauf des Forschers:

Datum	Ereignis
25. Juni 2026	Über die Zero Day Initiative gemeldet
16. September 2026	Telegram behebt den Fehler unabhängig davon
17. September 2026	Telegram Desktop 7.2.9 veröffentlicht
30. September 2026	Die Zero Day Initiative schließt die Meldung als bereits behoben
3. Oktober 2026	Analyse veröffentlicht
7. Oktober 2026	CVE-2026-107181 vergeben

„Der Fix wurde stillschweigend ausgeliefert“, schrieb der Forscher und fügte hinzu, dass „ihn kein Sicherheitshinweis begleitete“.

Wie ernst die Lücke ist

Der CVE-Eintrag bewertet die Lücke mit 8,1 nach CVSS 3.1 und mit 8,6 nach CVSS 4.0, beides hoch. Sie ist als CWE-143 eingestuft, ein Versäumnis, Datensatztrennzeichen sicher zu behandeln. Ihr Exploit-Vorhersagewert, der die Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen schätzt, liegt unter 1 %. Sie steht nicht im KEV-Katalog bekannter ausgenutzter Schwachstellen.

Der Angriff setzt voraus, dass mehrere Dinge zusammenkommen: die laufende App, ein Klick des Opfers, eine automatisch heruntergeladene Datei und kein lokaler Passcode. Das macht es schwerer, ihn in großem Umfang auszuführen. Doch ein erfolgreicher Angriff liefert das gesamte Konto aus.

Was das für Entwickler bedeutet

• Aktualisieren Sie Telegram Desktop auf 7.2.9 oder neuer. Prüfen Sie jeden Rechner, auch selten genutzte Laptops. Das Update ist die einzige vollständige Lösung.
• Legen Sie einen lokalen Passcode fest. Er verhindert, dass gestohlene Sitzungsdateien genutzt werden, aber nicht, dass die Dateien abgegriffen werden.
• Lassen Sie sich bei jeder Datei nach dem Speicherort fragen. Dann landen Dateien nicht mehr unbemerkt in einem vorhersehbaren Ordner.
• Begrenzen Sie, wer Sie zu Gruppen hinzufügen darf. Wer das Hinzufügen zu Gruppen auf seine Kontakte beschränkt, schneidet den ersten Schritt des Angriffs ab.
• Wenn Sie Desktop-Apps entwickeln, prüfen Sie Ihre lokale IPC. Jede App, die Links als Text zwischen Instanzen weitergibt, muss ihre Trennzeichen maskieren. Alte interne URL-Handler zu entfernen lohnt sich.

Teams, die Telegram beruflich nutzen, sollten dies als Pflicht-Update behandeln, nicht als optionales.