Telegram Desktop: IPC-Record-Injection ermöglicht lokale Dateiexfiltration

Zusammenfassung

Telegram Desktop vor Version 7.2.9 maskiert das Semikolon als Trennzeichen in seinen lokalen IPC-Befehlen nicht. Ein präparierter tg://-Link kann Befehle einschleusen, die den internen interpret:-Handler erreichen. Dieser kann lokale Dateien, einschliesslich Telegram-Sitzungsdaten (tdata), in einen vom Angreifer kontrollierten Chat hochladen. Voraussetzung ist, dass ein Benutzer einen bösartigen Link von ausserhalb von Telegram anklickt; der Angreifer kann danach die Telegram-Konten des Opfers übernehmen.

Betroffen

• Telegram Desktop vor 7.2.9 (CVE-Eintrag: 0 bis kleiner 7.2.9)
• Der Forscher bestätigte das Problem bis 7.2.8 unter Windows (Version 6.9.3). macOS und Linux wurden nicht demonstriert.

Behoben in

• Telegram Desktop 7.2.9 (Patch-Commit db3405699f8fc3ae28a58d2348b7d13a43c0590a)

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme. Auf 7.2.9 aktualisieren.
• Eine lokale Sperre (Passcode) in Telegram Desktop erschwert die Kontoübernahme, verhindert aber keine Dateilesezugriffe.

Ausnutzung

• Öffentlicher Proof of Concept: ja. Der Forscher hat die Angriffskette und einen PoC im Oktober 2026 veröffentlicht. Für diesen Eintrag nicht verifiziert.
• CISA SSVC: Exploitation 'poc', automatisierbar 'nein', technische Auswirkung 'total'.
• In freier Wildbahn: keine bekannte Ausnutzung.

Unsere Empfehlung

• Telegram Desktop auf allen Arbeitsstationen auf 7.2.9 oder neuer aktualisieren, einschliesslich portabler Installationen.
• Alle Installationen inventarisieren und Versionen 7.2.8 und älter identifizieren.
• Tg://-Links aus unbekannten Quellen nicht öffnen.
• Zwei-Faktor-Authentifizierung aktivieren und bei einem vermuteten Vorfall aktive Sitzungen überprüfen.
• Arbeitsstationen mit sensiblen Dateien und geschäftlicher Nutzung von Telegram Desktop priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  SeanDishman/telegram-cve-2026-107181 · 00nx/telegram-account-takeover-poc · abdugafforov-bobur/cve-2026-107181-poc

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Telegram Desktop release v7.2.9 github.com
• Patch commit db3405699f8fc3ae28a58d2348b7d13a43c0590a github.com
• beaksec write-up beaksec.github.io
• OSV entry CVE-2026-107181 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:14.