Une faille de Telegram Desktop permettait de voler les fichiers de session en un clic

Un chercheur en sécurité a publié une attaque fonctionnelle pour CVE-2026-107181, une faille de Telegram Desktop qui permettait de voler des fichiers sur l'ordinateur d'un utilisateur en un seul clic sur un lien. Les fichiers volés pouvaient inclure les données de session de Telegram, qui permettent à un attaquant de prendre le contrôle du compte. Telegram Desktop 7.2.8 et les versions antérieures sont concernés, et la version 7.2.9 corrige le problème. Toute personne qui n'a pas mis à jour depuis la mi-septembre doit le faire maintenant.

Le chercheur, qui écrit sous le nom de beaksec, a publié l'analyse complète le 3 octobre. La fiche CVE attribue la découverte à Emiliano Versini. Daily CyberSecurity a rapporté le 9 octobre que le code de preuve de concept est public et qu'aucune attaque en conditions réelles n'a été confirmée.

Comment fonctionne l'attaque

Lorsque Telegram Desktop est déjà ouvert et que vous cliquez sur un lien tg://, une seconde copie de l'application transmet ce lien à celle qui tourne. Elle le fait par un socket local, un canal privé entre programmes sur la même machine. Le chercheur a constaté que ce canal « n'échappe jamais le caractère qu'il utilise pour séparer les commandes ». Un seul lien piégé peut donc être découpé en plusieurs commandes.

L'une de ces commandes peut ouvrir un ancien type de lien interne, interpret:. Ce gestionnaire lit un fichier nommé sur le disque et l'envoie dans une discussion. « La fonction n'effectue aucune vérification d'autorisation », indique l'analyse, et elle ne demande aucune confirmation.

Une fois assemblée, la chaîne se présente ainsi :

1. L'attaquant ajoute la victime à un groupe, et Telegram télécharge automatiquement un petit fichier texte dans un dossier prévisible. La limite par défaut du téléchargement automatique dans les groupes est de 8 Mio.
2. La victime clique sur un lien https d'apparence ordinaire qui redirige vers le lien tg:// piégé. Le navigateur peut d'abord afficher une invite.
3. La commande injectée lit des fichiers, comme le dossier de session tdata, et les envoie à l'attaquant.
4. Sans code d'accès local, ce qui est le réglage par défaut, l'attaquant peut utiliser ces fichiers pour cloner la session.

Daily CyberSecurity indique que cloner la session de cette façon contourne l'authentification à deux facteurs. Le chercheur a confirmé l'attaque sous Windows.

Le correctif et la chronologie

Telegram a corrigé le bogue dans le commit db3405699f, intitulé « Remove legacy interpret path helper ». Le correctif supprime le schéma interpret:, échappe le caractère séparateur et ignore les chemins de fichiers locaux dans certaines requêtes mixtes, selon l'analyse.

Le correctif est arrivé avant tout avertissement public. La chronologie du chercheur :

Date	Événement
25 juin 2026	Signalement via la Zero Day Initiative
16 septembre 2026	Telegram corrige le bogue de son côté
17 septembre 2026	Publication de Telegram Desktop 7.2.9
30 septembre 2026	La Zero Day Initiative clôt le signalement comme déjà corrigé
3 octobre 2026	Publication de l'analyse
7 octobre 2026	Attribution de CVE-2026-107181

« Le correctif a été livré discrètement », a écrit le chercheur, ajoutant qu'« aucun avis ne l'accompagnait ».

Quelle est sa gravité

La fiche CVE note la faille 8,1 selon CVSS 3.1 et 8,6 selon CVSS 4.0, deux scores élevés. Elle est classée CWE-143, un défaut de traitement sûr des séparateurs d'enregistrements. Son score de prédiction d'exploitation est inférieur à 1 %. Ce score estime la probabilité d'attaques dans les 30 prochains jours. La faille ne figure pas dans le catalogue KEV des vulnérabilités exploitées connues.

L'attaque exige que plusieurs conditions soient réunies : l'application ouverte, un clic de la victime, un fichier téléchargé automatiquement et l'absence de code d'accès local. Il est donc plus difficile de la mener à grande échelle. Mais une attaque réussie livre le compte entier.

Ce que cela signifie pour les développeurs

• Mettez à jour Telegram Desktop vers la 7.2.9 ou une version ultérieure. Vérifiez chaque machine, y compris les portables rarement utilisés. La mise à jour est la seule correction complète.
• Définissez un code d'accès local. Il empêche l'utilisation des fichiers de session volés, mais n'empêche pas leur vol.
• Activez « demander où enregistrer chaque fichier ». Cela empêche les fichiers d'arriver discrètement dans un dossier prévisible.
• Limitez qui peut vous ajouter à des groupes. Réserver les ajouts aux groupes à vos contacts coupe la première étape de l'attaque.
• Si vous développez des applications de bureau, vérifiez votre IPC local. Toute application qui transmet des liens entre ses instances sous forme de texte doit échapper ses séparateurs. Les anciens gestionnaires d'URL internes méritent d'être supprimés.

Les équipes qui utilisent Telegram pour le travail devraient traiter cette mise à jour comme obligatoire, pas comme facultative.