Un fallo de Telegram Desktop permitía robar archivos de sesión con un clic

Un investigador de seguridad ha publicado un ataque funcional para CVE-2026-107181, un fallo de Telegram Desktop que permitía que un solo clic en un enlace robara archivos del ordenador de un usuario. Los archivos robados podían incluir los datos de sesión de Telegram, que permiten a un atacante hacerse con la cuenta. Telegram Desktop 7.2.8 y las versiones anteriores están afectadas, y la versión 7.2.9 lo corrige. Quien no haya actualizado desde mediados de septiembre debería hacerlo ahora.

El investigador, que firma como beaksec, publicó el análisis completo el 3 de octubre. El registro del CVE atribuye el hallazgo a Emiliano Versini. Daily CyberSecurity informó el 9 de octubre de que el código de prueba de concepto es público y de que no se han confirmado ataques en condiciones reales.

Cómo funciona el ataque

Cuando Telegram Desktop ya está en ejecución y usted hace clic en un enlace tg://, una segunda copia de la aplicación pasa ese enlace a la que está en ejecución. Lo hace a través de un socket local, un canal privado entre programas de la misma máquina. El investigador descubrió que este canal «nunca escapa el carácter que usa para separar comandos». Así, un enlace manipulado puede dividirse en varios comandos.

Uno de esos comandos puede abrir un antiguo tipo de enlace interno interpret:. Ese manejador lee del disco un archivo indicado por su nombre y lo envía a un chat. «La función no realiza ninguna comprobación de autorización», dice el análisis, y no pide ninguna confirmación.

En conjunto, la cadena es así:

1. El atacante añade a la víctima a un grupo, y Telegram descarga automáticamente un pequeño archivo de texto en una carpeta predecible. El límite predeterminado de descarga automática en grupos es de 8 MiB.
2. La víctima hace clic en un enlace https de apariencia normal que redirige al enlace tg:// manipulado. El navegador puede mostrar antes un aviso.
3. El comando inyectado lee archivos, como la carpeta de sesión tdata, y los envía al atacante.
4. Sin un código de acceso local, que es la situación predeterminada, el atacante puede usar esos archivos para clonar la sesión.

Daily CyberSecurity dice que clonar la sesión de esta forma elude la autenticación de dos factores. El investigador confirmó el ataque en Windows.

La corrección y la cronología

Telegram corrigió el fallo en el commit db3405699f, titulado «Remove legacy interpret path helper». La corrección elimina el esquema interpret:, escapa el carácter separador y descarta las rutas de archivos locales en ciertas solicitudes mixtas, según el análisis.

La corrección llegó antes de cualquier aviso público. La cronología del investigador:

Fecha	Hecho
25 de junio de 2026	Notificado a través de la Zero Day Initiative
16 de septiembre de 2026	Telegram corrige el fallo por su cuenta
17 de septiembre de 2026	Se publica Telegram Desktop 7.2.9
30 de septiembre de 2026	La Zero Day Initiative cierra el informe por estar ya corregido
3 de octubre de 2026	Se publica el análisis
7 de octubre de 2026	Se asigna CVE-2026-107181

«La corrección se publicó discretamente», escribió el investigador, y añadió que «no la acompañó ningún aviso».

Qué gravedad tiene

El registro del CVE califica el fallo con 8,1 en CVSS 3.1 y 8,6 en CVSS 4.0, ambas puntuaciones altas. Está clasificado como CWE-143, un fallo en la gestión segura de los separadores de registros. Su puntuación de predicción de explotación es inferior al 1 %, y estima la probabilidad de ataques en los próximos 30 días. No figura en el catálogo KEV de vulnerabilidades explotadas conocidas.

El ataque necesita que coincidan varias cosas: la aplicación en ejecución, un clic de la víctima, un archivo descargado automáticamente y ningún código de acceso local. Eso lo hace más difícil de llevar a cabo a gran escala. Pero un ataque con éxito entrega la cuenta completa.

Qué significa para los desarrolladores

• Actualice Telegram Desktop a 7.2.9 o posterior. Compruebe cada equipo, incluidos los portátiles que se usan poco. Actualizar es la única corrección completa.
• Configure un código de acceso local. Impide que se usen los archivos de sesión robados, aunque no impide que se roben los archivos.
• Active «preguntar dónde guardar cada archivo». Así los archivos no acaban en silencio en una carpeta predecible.
• Limite quién puede añadirle a grupos. Restringir la incorporación a grupos a sus contactos corta el primer paso del ataque.
• Si desarrolla aplicaciones de escritorio, revise su IPC local. Cualquier aplicación que pase enlaces entre instancias como texto debe escapar sus separadores. Merece la pena eliminar los antiguos manejadores de URL internos.

Los equipos que usan Telegram para trabajar deberían tratar esto como una actualización obligatoria, no opcional.