آسیب‌پذیری Telegram Desktop؛ امکان سرقت حساب با یک کلیک

آسیب‌پذیری CVE-2026-107181 در نسخه‌های قدیمی Telegram Desktop به مهاجمان اجازه می‌دهد با سوءاستفاده از پیوندهای دست‌کاری‌شده، فایل‌های نشست کاربران را استخراج کنند و کنترل حساب آن‌ها را به دست بگیرند.

یک آسیب‌پذیری امنیتی با شدت بالا در Telegram Desktop شناسایی شده است که می‌تواند زمینه سرقت حساب کاربران و افشای فایل‌های محلی را فراهم کند. این نقص با شناسه CVE-2026-107181 ثبت شده و نسخه‌های پیش از ۷.۲.۹ برنامه را تحت تأثیر قرار می‌دهد. مهاجم برای اجرای سناریوی حمله به تعامل کاربر نیاز دارد و می‌تواند با ترغیب قربانی به کلیک روی یک پیوند مخرب، فرایند استخراج اطلاعات نشست را آغاز کند. امتیاز این آسیب‌پذیری در نسخه چهارم سیستم امتیازدهی CVSS برابر با ۸٫۶ از ۱۰ است و منابع فنی آن را در رده آسیب‌پذیری‌های با شدت بالا قرار می‌دهند.

جزئیات فنی آسیب‌پذیری CVE-2026-107181

پژوهشگر امنیتی BeakSEK این آسیب‌پذیری را بررسی کرده و جزئیات فنی آن را در GitHub منتشر کرده است. طبق این بررسی، مشکل اصلی به نحوه پردازش پیوندهای سفارشی با پیشوند //:tg در Telegram Desktop مربوط می‌شود. برنامه در نسخه‌های آسیب‌پذیر، نویسه نقطه‌ویرگول (;) را به‌درستی مدیریت نمی‌کند؛ درحالی‌که سازوکار ارتباط بین‌فرایندی (IPC) تلگرام از این نویسه برای جداسازی رکوردهای دستوری استفاده می‌کند.

مهاجم می‌تواند با قراردادن نقطه‌ویرگول‌های دست‌کاری‌شده در یک پیوند، محتوای آن را به‌گونه‌ای تنظیم کند که برنامه بخشی از داده ورودی را به‌عنوان دستور جداگانه تفسیر کند. این نقص در مؤلفه Core::Sandbox قرار دارد و امکان تزریق رکوردهای OPEN: را فراهم می‌کند. در ادامه، مهاجم می‌تواند از مسیر پردازش پیوند به قابلیت داخلی :interpret دسترسی پیدا کند؛ قابلیتی که امکان خواندن فایل‌های محلی و ارسال آن‌ها به یک گفت‌وگو در تلگرام را دارد.

بر اساس اطلاعات ثبت‌شده برای این آسیب‌پذیری، ترکیب تزریق دستور با دسترسی این قابلیت به فایل‌های محلی، خطر افشای اطلاعات حساس و تصاحب حساب را ایجاد می‌کند.

سناریوی حمله؛ از کلیک روی پیوند تا تصاحب حساب

در سناریوی اثبات مفهوم منتشرشده، مهاجم ابتدا یک گروه تلگرامی ایجاد می‌کند و کاربران هدف را به آن اضافه می‌کند. سپس چند فایل متنی حاوی دستورهای موردنیاز را در گروه قرار می‌دهد. اگر تنظیمات Telegram Desktop دانلود خودکار فایل‌ها را فعال نگه داشته باشد، برنامه ممکن است این فایل‌ها را بدون دخالت مستقیم کاربر دانلود کند.

در مرحله بعد، مهاجم پیوندی را در گروه منتشر می‌کند که در ظاهر عادی به نظر می‌رسد، اما در واقع یک پیوند //:tg دست‌کاری‌شده است. کلیک کاربر روی این پیوند می‌تواند برنامه را به پردازش دستورهای تزریق‌شده وادار کند.

این فرایند ممکن است فایل‌های مرتبط با نشست تلگرام را از پوشه tdata استخراج کند. این پوشه اطلاعات موردنیاز برنامه برای نگهداری نشست‌های کاربر را در خود ذخیره می‌کند. مهاجم با دستیابی به داده‌های لازم می‌تواند در شرایط مناسب، نشست قربانی را در یک نمونه دیگر از تلگرام بازیابی کند و بدون طی‌کردن فرایند معمول ورود، به حساب او دسترسی پیدا کند.

بااین‌حال، موفقیت حمله به شرایطی مانند استفاده از نسخه آسیب‌پذیر، کلیک کاربر روی پیوند مخرب و امکان بازیابی اطلاعات نشست بستگی دارد. بنابراین، صرف دریافت یک پیام یا حضور در یک گروه تلگرامی به معنای تصاحب قطعی حساب نیست.

کدام نسخه‌های Telegram Desktop آسیب‌پذیر هستند؟

طبق اطلاعات منتشرشده در پایگاه‌های ردیابی آسیب‌پذیری، نسخه‌های Telegram Desktop پیش از ۷.۲.۹ تحت تأثیر این نقص قرار دارند. توسعه‌دهندگان تلگرام اصلاحیه مربوط به این آسیب‌پذیری را در نسخه ۷.۲.۹ ارائه کرده‌اند. کاربران باید نسخه نصب‌شده را بررسی کنند و برنامه را به آخرین نسخه پایدار موجود ارتقا دهند.

مشخصات اصلی آسیب‌پذیری عبارت‌اند از:

شناسه آسیب‌پذیری: CVE-2026-107181
محصول آسیب‌پذیر: Telegram Desktop
نسخه‌های آسیب‌پذیر: نسخه‌های قدیمی‌تر از ۷.۲.۹
امتیاز CVSS نسخه ۴.۰: برابر با ۸٫۶ از ۱۰
رده شدت: بالا (High)
نوع نقص: تزریق جداکننده رکوردها در ارتباط بین‌فرایندی (IPC)
پیامدهای احتمالی: افشای فایل‌های محلی و تصاحب حساب کاربر

راهکارهای مقابله با آسیب‌پذیری تلگرام

کاربران برای کاهش خطر سوءاستفاده از این آسیب‌پذیری باید چند اقدام امنیتی را در اولویت قرار دهند:

۱. Telegram Desktopرا به‌روزرسانی کنید. آخرین نسخه پایدار را از منبع رسمی دریافت کنید. نصب نسخه ۷.۲.۹ یا جدیدتر، اصلاحیه مربوط به این نقص را در اختیار کاربر قرار می‌دهد.

۲. دانلود خودکار فایل‌ها را محدود کنید. تنظیمات دانلود خودکار تلگرام را بررسی کنید و دریافت خودکار فایل‌ها از گروه‌ها و گفت‌وگوهای ناشناس را غیرفعال کنید. در صورت امکان، گزینه درخواست محل ذخیره‌سازی فایل پیش از دانلود را فعال کنید.

۳. افزودن به گروه‌ها را محدود کنید. تنظیمات حریم خصوصی را به‌گونه‌ای تغییر دهید که افراد ناشناس نتوانند به‌راحتی شما را به گروه‌ها اضافه کنند.

۴. گذرواژه محلی تنظیم کنید. فعال‌کردن قفل محلی Telegram Desktop می‌تواند یک لایه حفاظتی اضافه ایجاد کند؛ بااین‌حال، این اقدام جایگزین به‌روزرسانی برنامه نیست و نباید آن را تضمینی برای جلوگیری از تصاحب حساب دانست.

۵. نشست‌های فعال را بررسی کنید. اگر احتمال می‌دهید پیوند مشکوکی را در نسخه آسیب‌پذیر باز کرده‌اید، نشست‌های فعال حساب را بررسی کنید و نشست‌های ناشناس را خاتمه دهید. همچنین، برنامه را به‌روزرسانی کنید و امنیت دستگاه را بررسی کنید.

جمع‌بندی

آسیب‌پذیری CVE-2026-107181 نشان می‌دهد که نقص در پردازش پیوندهای سفارشی و دسترسی بیش از حد قابلیت‌های داخلی یک برنامه می‌تواند امنیت حساب کاربران را به خطر بیندازد. این نقص در نسخه‌های قدیمی Telegram Desktop به مهاجمان امکان می‌دهد از طریق پیوندهای دست‌کاری‌شده، فایل‌های مرتبط با نشست کاربران را استخراج کنند و در شرایط مناسب، حساب آن‌ها را به دست بگیرند.

با توجه به شدت بالای آسیب‌پذیری، کاربران باید به‌روزرسانی Telegram Desktop، محدودکردن دانلود خودکار فایل‌ها و بررسی نشست‌های فعال را در اولویت قرار دهند.

منابع برای مطالعه بیشتر: