Telegram Desktopのバグ、1回のクリックでセッションファイルを盗める状態だった

あるセキュリティ研究者が、CVE-2026-107181に対する実際に機能する攻撃手法を公開しました。これはTelegram Desktopの脆弱性で、リンクを1回クリックするだけで、ユーザーのコンピューターからファイルが盗まれるおそれがありました。盗まれるファイルにはTelegramのセッションデータが含まれる可能性があり、攻撃者はそれを使ってアカウントを乗っ取ることができます。影響を受けるのはTelegram Desktop 7.2.8以前で、バージョン7.2.9で修正されています。9月中旬以降に更新していない人は、今すぐ更新してください。

beaksecの名で執筆しているこの研究者は、10月3日に詳しい解説を公開しました。CVEの記録では、発見者としてEmiliano Versini氏の名前が挙げられています。Daily CyberSecurityは10月9日、概念実証コードが公開されていること、そして実環境での攻撃は確認されていないことを報じました。

攻撃の仕組み

Telegram Desktopがすでに起動している状態でtg://リンクをクリックすると、アプリの2つ目のコピーが、そのリンクを起動中のアプリに渡します。この受け渡しは、ローカルソケットを通じて行われます。ローカルソケットとは、同じマシン上のプログラム同士をつなぐ非公開の通信路です。研究者は、この通信路が「コマンドの区切りに使う文字を一切エスケープしない」ことを発見しました。そのため、細工した1つのリンクを、複数のコマンドに分割できます。

それらのコマンドの1つは、古い内部のinterpret:リンクタイプを開くことができます。このハンドラーは、指定された名前のファイルをディスクから読み取り、チャットに送信します。解説によると、「この関数は認可チェックを一切行わない」うえに、確認も求めません。

これらを組み合わせると、攻撃の流れは次のようになります。

1. 攻撃者が被害者をグループに追加すると、Telegramが小さなテキストファイルを予測可能なフォルダーに自動ダウンロードします。グループの自動ダウンロードの上限は、デフォルトで8 MiBです。
2. 被害者が一見普通のhttpsリンクをクリックすると、細工されたtg://リンクにリダイレクトされます。ブラウザーが先に確認画面を表示する場合があります。
3. 注入されたコマンドが、tdataセッションフォルダーなどのファイルを読み取り、攻撃者に送信します。
4. ローカルパスコードが設定されていなければ、攻撃者はそれらのファイルを使ってセッションを複製できます。パスコードなしがデフォルトの設定です。

Daily CyberSecurityによると、この方法でセッションを複製すると、2要素認証を回避できます。研究者は、Windowsで攻撃を確認しました。

修正とタイムライン

Telegramは、「Remove legacy interpret path helper」というタイトルのコミットdb3405699fで、このバグを修正しました。解説によると、この修正はinterpret:スキームを削除し、区切り文字をエスケープし、特定の混在したリクエストではローカルファイルのパスを除外します。

修正は、公の警告が出る前に届いていました。研究者がまとめたタイムラインは次のとおりです。

日付	出来事
2026年6月25日	Zero Day Initiativeを通じて報告
2026年9月16日	Telegramが独自にバグを修正
2026年9月17日	Telegram Desktop 7.2.9が公開
2026年9月30日	Zero Day Initiativeが、修正済みとして報告をクローズ
2026年10月3日	解説が公開
2026年10月7日	CVE-2026-107181が割り当て

研究者は「修正はひっそりと出荷された」と書き、「それに伴うアドバイザリーはなかった」と付け加えました。

どれくらい深刻なのか

CVEの記録では、この脆弱性はCVSS 3.1で8.1、CVSS 4.0で8.6と評価されており、いずれも深刻度は「高」です。分類はCWE-143で、レコード区切り文字を安全に扱えない問題です。悪用予測スコアは1%未満です。このスコアは、今後30日以内に攻撃が起きる可能性を推定したものです。既知の悪用された脆弱性をまとめたKEVカタログには載っていません。

この攻撃には、いくつかの条件がそろう必要があります。アプリが起動していること、被害者がクリックすること、ファイルが自動ダウンロードされること、そしてローカルパスコードがないことです。そのため、大規模に実行するのは難しくなります。しかし、攻撃が成功すれば、アカウント全体が乗っ取られます。

開発者にとっての意味

• Telegram Desktopを7.2.9以降に更新すること。 めったに使わないノートパソコンも含め、すべてのマシンを確認してください。完全な対策は更新だけです。
• ローカルパスコードを設定すること。 盗まれたセッションファイルが使われるのを防げます。ただし、ファイルが持ち出されること自体は防げません。
• 「ファイルごとに保存先を確認する」をオンにすること。 これで、ファイルが予測可能なフォルダーに気づかないうちに保存されるのを防げます。
• グループに追加できる人を制限すること。 グループへの追加を連絡先に限れば、攻撃の最初の段階を断てます。
• デスクトップアプリを作っているなら、ローカルIPCを確認すること。 インスタンス間でリンクをテキストとして受け渡すアプリは、区切り文字を必ずエスケープしなければなりません。古い内部URLハンドラーは、削除する価値があります。

仕事でTelegramを使っているチームは、これを任意の更新ではなく、必須の更新として扱うべきです。