Telegram Desktop, basta un clic per rubare file dal PC: aggiornate subito

Una vulnerabilità individuata nel client desktop di Telegram mostra come una funzione interna, nata per automatizzare attività di manutenzione, possa trasformarsi in un punto d’ingresso per sottrarre dati.

Il ricercatore BeakSec ha documentato una catena che parte da un collegamento appositamente costruito e arriva alla lettura di file locali. Il report è stato pubblicato negli scorsi giorni e ricostruisce il comportamento del client attraverso l’analisi del codice, non limitandosi a segnalare un’anomalia teorica.

La vicenda è significativa perché mette in relazione la gestione dei link, la comunicazione tra processi e i controlli di autorizzazione. La ricostruzione chiarisce dove si spezza la fiducia tra componenti.

Client di Telegram a rischio: una questione di link

Il problema, identificato come CVE-2026-107181, riguarda Telegram Desktop fino alla versione 7.2.8. Quando l’app è già aperta, un nuovo processo trasferisce il link all’istanza attiva tramite IPC, un meccanismo di comunicazione locale. I dati sono serializzati con un separatore non neutralizzato: un URL costruito ad arte può quindi essere interpretato come più comandi, anziché come una richiesta unica.

La seconda parte riguarda lo schema interno interpret:, creato per automatizzare la pubblicazione dei pacchetti. Il gestore può leggere un file indicato in un documento di istruzioni e inviarlo a una chat senza verificare adeguatamente l’autorizzazione di chi avvia l’operazione. Raggiunta tramite l’iniezione IPC, la funzione può trasformare l’apertura di un link in un’esfiltrazione di dati.

La dimostrazione documenta anche il possibile furto dei file locali usati per conservare l’autorizzazione della sessione, con rischio di takeover dell’account. Il nodo non è il link da solo, ma l’unione tra parsing permissivo e funzione sensibile accessibile senza conferma.

Come evitare rischi?

La correzione è inclusa in Telegram Desktop 7.2.9. Il commit nel repository elimina il gestore interpret: e cambia la codifica dei dati scambiati sul socket, impedendo che i separatori nei valori diventino confini fra comandi. Il changelog pubblico non illustra esplicitamente l’intervento: il legame con la vulnerabilità si ricava soprattutto dal codice e dal report. Per il confronto sono disponibili il report di BeakSec e il commit correttivo.

Per utenti e amministratori, è utile verificare la build effettivamente installata, soprattutto quando il client proviene da un repository di distribuzione che può aggiornarsi in ritardo rispetto al progetto principale. Il controllo va fatto sia nell’app sia nel gestore dei pacchetti: il numero pubblicato a monte non garantisce che ogni canale abbia già distribuito la stessa build. È inoltre prudente prestare attenzione ai link che avviano applicazioni desktop e mantenere aggiornati i programmi che gestiscono protocolli personalizzati.