Telegram Desktop 漏洞可讓任何使用者的檔案遭竊取 （★
103 分）
Telegram Desktop 在 7.2.8 及更早版本含有 CVE-2026-107181 高風險漏洞：程式把外部 tg:// 連結交給既有執行個體時，使用處理程序間通訊 IPC（Inter-Process Communication）傳遞文字指令，卻未對分號進行跳脫處理。攻擊者可把單一網址拆成多道指令，進而呼叫內部的 interpret: URI（統一資源識別碼）功能。這項原本用於發布 Telegram 更新的舊工具，會依照指令檔讀取指定路徑的檔案，並直接傳送到指定群組或超級群組，既不驗證呼叫來源，也不要求使用者確認。
攻擊流程可從把受害者加入群組開始。攻擊者先傳送數個純文字指令檔；在預設自動下載條件下，檔案會落到可預測的 Downloads/Telegram Desktop 路徑。接著受害者開啟群組內看似正常的 HTTPS（加密網頁傳輸協定）連結，瀏覽器重新導向至惡意 tg:// 網址後，Telegram Desktop 便會把指定檔案上傳給攻擊者。受影響範圍不只帳號工作階段檔案，也包括該使用者權限可讀取的 SSH 私鑰、瀏覽器密碼資料庫、雲端憑證或 API 權杖等。若受害者未設本機通行碼，攻擊者取得 tdata 內的 key_datas、授權檔與索引檔後，便可還原 Telegram 的資料加密金鑰 DEK（Data Encryption Key），解開工作階段授權並接管帳號。
Telegram 已在 2026 年 9 月發布的 7.2.9 修補此問題，移除 interpret: 工具，並在 IPC 資料傳遞中加入編碼與解碼程序，使分號不再能被誤當成指令分隔符號。文章指出，真正能關閉漏洞的方法是升級至 7.2.9 或更新版本；在此之外，開啟每次儲存檔案時詢問位置、限制僅聯絡人可將自己加入群組，以及設定強本機通行碼，都可降低部分風險，但無法取代更新。值得注意的是，該版本的公開變更紀錄僅提到繪圖修正，未附安全公告，使漏洞修補不易被一般使用者注意。
Hacker News 討論普遍認為，事件最值得警惕之處是可外洩任意本機檔案，而不只是文章標題強調的帳號接管；尤其 Telegram 為了自動發布自家版本，內建一個可依指令上傳任何檔案的工具，被不少人形容為極不安全的設計。也有人把焦點放在桌面作業系統的檔案權限模型，主張應以沙箱（sandbox，限制應用程式可存取範圍的隔離機制）限制通訊軟體只能讀取自身資料與獲准資料夾；Mac App Store 版、Flatpak 與 OpenBSD 的隔離機制被視為可降低損害範圍。不過反方指出，即使作業系統隔離不足，直接接受未授權指令並上傳檔案仍是 Telegram 本身的漏洞；而且帳號接管所需的正是 Telegram 自己可存取的工作階段資料，沙箱未必能完全化解風險。
👥
44 則討論、評論 💬
https://news.ycombinator.com/item?id=50029123