חולשה ב-Telegram Desktop: קישור אחד הספיק לגנוב קבצים ולהשתלט על החשבון
חוקר חשף שקישור מעוצב שנפתח מהדפדפן יכול היה לגרום לטלגרם למחשב לשלוח לתוקף קבצים מהדיסק, כולל קבצי ההתחברות לחשבון. התיקון כבר זמין בגרסה 7.2.9, אבל הוא שוחרר בשקט.
TL;DR בקצרה
- החולשה CVE-2026-107181 קיימת ב-Telegram Desktop עד גרסה 7.2.8, והוגדרה בחומרה גבוהה.
- קישור שנפתח מהדפדפן יכול היה להפעיל רכיב פנימי ששולח קבצים מהמחשב לצ׳אט של התוקף.
- בהדגמה נגנבו קבצי הסשן של טלגרם, מה שמאפשר כניסה לחשבון כשאין קוד גישה מקומי.
- טלגרם תיקנה את הבעיה בגרסה 7.2.9 מספטמבר, בלי לציין שזה תיקון אבטחה.
חוקר אבטחה שמפרסם בשם beaksec חשף חולשה ב-Telegram Desktop, גרסת המחשב של טלגרם. לחיצה אחת על קישור שנבנה במיוחד, בדפדפן, אפשרה לתוקף לשלוף קבצים מהמחשב. הקבצים כללו את אלה ששומרים את ההתחברות לחשבון. כך התוקף יכול היה להשתלט עליו.
החולשה קיבלה ב-7 באוקטובר את המזהה CVE-2026-107181. הפרטים המלאים, יחד עם קוד הדגמה, פורסמו ברשת. טלגרם כבר הוציאה תיקון בגרסה 7.2.9, אבל בשקט. היא לא הודיעה שמדובר בעדכון אבטחה.
איך קישור אחד הופך לגניבת קבצים ב-Telegram Desktop
כשלוחצים בדפדפן על קישור מסוג tg://, מערכת ההפעלה מעבירה אותו לטלגרם שכבר פתוחה במחשב. היא עושה זאת דרך ערוץ תקשורת פנימי (IPC). לפי החוקר, הערוץ הזה מעביר את הקישורים כטקסט שמופרד בנקודה-פסיק, בלי לנטרל את התו המפריד. תוקף יכול לשתול בקישור נקודה-פסיק ולהוסיף אחריו פקודות משלו. אחת הפקודות הגיעה לכלי פנימי ישן. הכלי נועד במקור לתהליך פרסום הגרסאות.
הוא ידע לקרוא קבצים מהדיסק ולשלוח אותם לצ׳אט. הוא עשה זאת בלי בדיקת הרשאות ובלי לבקש אישור מהמשתמש.
בהדגמה, שבוצעה על Windows, התוקף שלף את הקבצים ששומרים את סשן ההתחברות לטלגרם. איתם הוא יכול היה להיכנס לחשבון של הקורבן.
החוקר מפרט שלושה תנאים. הראשון: הורדה אוטומטית של קבצים שמתקבלים בקבוצות (ברירת המחדל, עד 8MB). השני: אפשרות לצרף את הקורבן לקבוצה בלי אישור (גם היא ברירת מחדל). השלישי: היעדר קוד גישה מקומי לאפליקציה.
הקישור עצמו נראה כמו קישור https רגיל. הוא מפנה הלאה לקישור tg://. הדפדפן עשוי להציג חלון אישור לפני שהוא פותח את טלגרם. לחיצה על קישור בתוך צ׳אט בטלגרם מגיעה בדרך אחרת, ולא מנצלת את החולשה.
תיקון שקט ב-Telegram Desktop, ולמה זה בעייתי
לפי ציר הזמן שפרסם החוקר, הוא דיווח על החולשה ב-25 ביוני. הוא דיווח עליה דרך תוכנית Zero Day Initiative. טלגרם טיפלה בחולשה באופן עצמאי ב-16 בספטמבר. למחרת היא הוציאה את גרסה 7.2.9.
אבל ביומן השינויים הופיע רק ״תיקון תצוגה״. הודעת אבטחה לא פורסמה. התיקון הסיר את הכלי הפנימי ונטרל את התו המפריד. הוא גם הוסיף סינון לפקודות שמגיעות מבחוץ באותו חיבור.
הבעיה בתיקון שקט היא שמשתמשים ומנהלי IT לא יודעים שהעדכון דחוף. מחשבים שבהם טלגרם לא מתעדכנת מעצמה עלולים להישאר פגיעים חודשים. אלה, למשל, התקנות ישנות במחשבי עבודה או בגרסה ניידת. ציון החומרה הוא 8.1 (גבוה) לפי CVSS 3.1, ו-8.6 לפי CVSS 4.0. נכון ל-9 באוקטובר לא דווח על ניצול בפועל. גם לא דווח על הכללה ברשימת החולשות המנוצלות של CISA. אבל קוד ההדגמה פומבי, וזה בדרך כלל מקצר את הזמן עד שמישהו מנסה.
כדאי גם לשים לב לגבולות של הממצא. החוקר הדגים את השרשרת רק על Windows. התרחיש תלוי בכמה הגדרות ברירת מחדל, ובכך שהקורבן יאשר את פתיחת טלגרם מהדפדפן. זה לא ״קליק אחד וזהו״ בכל מצב, אבל זה קרוב מספיק כדי להתייחס ברצינות.
מה זה אומר עבורכם
- עדכנו בהקדם: בדקו בהגדרות של טלגרם למחשב שהגרסה היא 7.2.9 ומעלה. זה התיקון המלא היחיד, וזה נכון לכל מחשב בבית ובעסק שמותקנת בו האפליקציה.
- הגדירו קוד גישה מקומי. לפי החוקר, קוד גישה לא מונע את גניבת הקבצים. אבל הוא הופך את קבצי הסשן הגנובים לחסרי תועלת לתוקף.
- הגבילו צירוף לקבוצות: בהגדרות הפרטיות קבעו שרק אנשי הקשר שלכם יכולים להוסיף אתכם לקבוצות.
- בטלו הורדה אוטומטית. הפעילו את האפשרות לשאול היכן לשמור כל אחד מהקבצים. כך קבצים לא יורדו למחשב בלי ידיעתכם.
- חשדתם? בדקו סשנים. אם לחצתם על קישור לא מוכר שפתח את טלגרם, סיימו את כל הסשנים הפעילים האחרים. בדקו גם אם יצאו מהחשבון קבצים שלא אתם שלחתם.
מקורות והרחבה
- Telegram Desktop: one-click account takeover via IPC injection (CVE-2026-107181)beaksec
- PoC Released for Telegram Desktop Flaw Enabling One-Click File Account TakeoverCyber Security News
- CVE-2026-107181Ubuntu Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
