セキュリティ研究者のbeaksec氏は10月3日、Telegram Desktopのアカウント乗っ取りにつながる脆弱性の詳細を公開し、10月7日にCVE-2026-107181が割り当てられた。CVEの記述によると、影響を受けるのは7.2.9より前のTelegram Desktopで、多重起動を防ぐためのプロセス間通信（IPC）でレコードの区切り文字であるセミコロンがエスケープされていなかった。ブラウザなど外部で開かれたtg://リンクにセミコロンを含めると、別のOPEN:レコードを差し込める。そこから内部向けのinterpret:スキームの送信処理に到達し、tdataフォルダのセッション鍵を含むローカルファイルを攻撃者のチャンネルへアップロードさせられる。パスワードや2段階認証なしでアカウントを引き継がれる恐れがある。Telegram内のチャットでクリックしたリンクはアプリ内で処理されるため対象外とされる。修正はコミットdb3405699fで、interpret:スキームと関連ヘルパーを削除し、IPCの区切り文字をエスケープするようにした。同じ接続でOPEN:と他の種類のレコードが混在した場合の追加の防御も入っている。ただし7.2.9の更新履歴にはアニメーション描画の修正しか書かれておらず、ベンダーからの注意喚起もなかった。VulnCheckはCVSS 4.0で8.6と評価している。CISAの悪用確認済み脆弱性カタログには載っておらず、悪用の報告はない。
Telegram Desktop 7.2.8以前に1クリックでセッション窃取の脆弱性 CVE-2026-107181、7.2.9で修正
## POINTS
- 7.2.9より前のTelegram Desktopが対象。外部ブラウザで開いたtg://リンクのセミコロンでIPCにレコードを差し込める
- セッション鍵を含むtdataが攻撃者のチャットへ送られ、パスワードや2段階認証なしで乗っ取られる恐れがある
- 修正は9月17日の7.2.9に含まれたが更新履歴に記載がなく、各端末のバージョン確認が必要