Falha no Telegram Desktop permitia roubar arquivos de sessão com um clique

Um pesquisador de segurança publicou um ataque funcional para a CVE-2026-107181, uma falha do Telegram Desktop que permitia que um único link clicado roubasse arquivos do computador de um usuário. Os arquivos roubados podiam incluir os dados de sessão do Telegram, que permitem a um atacante assumir a conta. O Telegram Desktop 7.2.8 e as versões anteriores são afetados, e a versão 7.2.9 corrige o problema. Quem não atualiza desde meados de setembro deve fazer isso agora.

O pesquisador, que assina como beaksec, publicou a análise completa em 3 de outubro. O registro da CVE atribui a descoberta a Emiliano Versini. O Daily CyberSecurity informou em 9 de outubro que o código de prova de conceito é público e que nenhum ataque em ambiente real foi confirmado.

Como o ataque funciona

Quando o Telegram Desktop já está em execução e você clica em um link tg://, uma segunda cópia do aplicativo passa esse link para a que já está rodando. Ela faz isso por um socket local, um canal privado entre programas na mesma máquina. O pesquisador descobriu que esse canal «nunca faz o escape do caractere que usa para separar comandos». Assim, um único link forjado pode ser dividido em vários comandos.

Um desses comandos pode abrir um antigo tipo de link interno, interpret:. Esse manipulador lê do disco um arquivo indicado pelo nome e o envia para um chat. «A função não faz nenhuma verificação de autorização», diz a análise. Ela também não pede nenhuma confirmação.

Juntando tudo, a cadeia fica assim:

1. O atacante adiciona a vítima a um grupo, e o Telegram baixa automaticamente um pequeno arquivo de texto para uma pasta previsível. O limite padrão de download automático em grupos é de 8 MiB.
2. A vítima clica em um link https de aparência comum que redireciona para o link tg:// forjado. O navegador pode mostrar um aviso antes.
3. O comando injetado lê arquivos, como a pasta de sessão tdata, e os envia para o atacante.
4. Sem um código de acesso local, que é a configuração padrão, o atacante pode usar esses arquivos para clonar a sessão.

O Daily CyberSecurity diz que clonar a sessão dessa forma contorna a autenticação de dois fatores. O pesquisador confirmou o ataque no Windows.

A correção e a cronologia

O Telegram corrigiu a falha no commit db3405699f, intitulado «Remove legacy interpret path helper». A correção remove o esquema interpret:, faz o escape do caractere separador e descarta caminhos de arquivos locais em certas solicitações mistas, segundo a análise.

A correção chegou antes de qualquer alerta público. A cronologia do pesquisador:

Data	Evento
25 de junho de 2026	Relatada por meio da Zero Day Initiative
16 de setembro de 2026	O Telegram corrige a falha de forma independente
17 de setembro de 2026	Telegram Desktop 7.2.9 publicado
30 de setembro de 2026	A Zero Day Initiative encerra o relato como já corrigido
3 de outubro de 2026	Análise publicada
7 de outubro de 2026	CVE-2026-107181 atribuída

«A correção foi lançada discretamente», escreveu o pesquisador, acrescentando que «nenhum aviso a acompanhou».

Qual a gravidade

O registro da CVE classifica a falha com 8,1 no CVSS 3.1 e 8,6 no CVSS 4.0, ambas notas altas. Ela é classificada como CWE-143, uma falha em tratar separadores de registro com segurança. Sua pontuação de previsão de exploração fica abaixo de 1%, o que estima a chance de ataques nos próximos 30 dias. Ela não consta no catálogo KEV de vulnerabilidades sabidamente exploradas.

O ataque exige que várias coisas se alinhem: o aplicativo em execução, um clique da vítima, um arquivo baixado automaticamente e nenhum código de acesso local. Isso torna mais difícil executá-lo em grande escala. Mas um ataque bem-sucedido entrega a conta inteira.

O que isso significa para os desenvolvedores

• Atualize o Telegram Desktop para a 7.2.9 ou posterior. Verifique todas as máquinas, incluindo notebooks pouco usados. Atualizar é a única correção completa.
• Defina um código de acesso local. Ele impede que arquivos de sessão roubados sejam usados, embora não impeça que os arquivos sejam levados.
• Ative «perguntar onde salvar cada arquivo». Isso impede que arquivos caiam silenciosamente em uma pasta previsível.
• Limite quem pode adicionar você a grupos. Restringir as adições a grupos aos seus contatos corta o primeiro passo do ataque.
• Se você cria aplicativos desktop, verifique seu IPC local. Qualquer aplicativo que passe links entre instâncias como texto deve fazer o escape de seus separadores. Vale a pena remover manipuladores de URL internos antigos.

Equipes que usam o Telegram no trabalho devem tratar isso como uma atualização obrigatória, não opcional.