O que NÃO fazer e como se proteger:
• Não permaneça em versões abaixo de 7.2.9 — atualize o cliente imediatamente. Se você usa um cliente não oficial, mude temporariamente para o oficial, até que a atualização seja lançada.
Baixar:
• Windows / macOS / Linux: site oficial ou GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub,Snapcraft.
Dica para usuários de clientes antigos:
• Links são perigosos: ao clicar em qualquer link, leia atentamente o pop‑up — se o Telegram mostrar na URL uma estrutura estranha (por exemplo, começando com tg://), não siga o link.
• Não use o cliente sem senha local: ativá‑la criptografa os arquivos de sessão na pasta
tdata
, impedindo a captura instantânea da conta mesmo que eles vazem.
Qual é a essência do problema?
Nos clientes Telegram Desktop até a versão 7.2.9 foi encontrada uma vulnerabilidade (CVE-2026-107181). Por falta de escape do separador
;
os parâmetros em links do esquema
tg://
eram interpretados como comandos IPC separados. Usando o manipulador interno
interpret:
o atacante podia, ao clicar em um link preparado, enviar arquivos do seu sistema para seu canal sem que o usuário confirmasse.
Risco principal
O perigo não se limita apenas ao roubo dos arquivos de sessão
tdata
e ao sequestro da conta. A exploração permite furtivamente roubar qualquer arquivo no computador, ao qual o usuário tem acesso: documentos, sessões de navegadores salvas, chaves SSH, configurações de sistema ou carteiras de criptomoedas.
#segurança #desktop #vulnerabilidades