Summary
Researcher beaksec details CVE-2026-107181: semicolon injection in Telegram Desktop’s single-instance socket plus unauthenticated interpret: file-send primitive enables one-click theft of session tdata and full account takeover; fixed in 7.2.9.
Source Analysis
Research Notes
Additional sources
- CVE.org CVE-2026-107181; Tenable/VulnCheck; Threadlinqs timeline
- Telegram fix commit db3405699f; v7.2.9 release
Verified
- CVE-2026-107181; affected < 7.2.9; CVSS 3.1 8.1 / 4.0 8.6
- One-click
tg://chain →tdataexfiltration via IPC semicolon injection +interpret:handler - Fixed Sept 2026; PoC published Oct 2026; no confirmed ITW exploitation as of early Oct
Mitigation
- Upgrade to Telegram Desktop 7.2.9+; corporate policy for desktop clients
Related wiki: telegram-desktop, ipc-record-injection, account-takeover-fraud
Draft Article
Telegram Desktop: CVE-2026-107181 ile tek tık hesap ele geçirme riski
Araştırmacı beaksec, Telegram Desktop için CVE-2026-107181 açığını detaylandırdı: tek tıkla tg:// zinciri, yerel oturum dosyalarının (tdata) çalınmasına ve tam hesap ele geçirmeye yol açabiliyor. Türkiye’de hem mobil hem masaüstü kullanım yaygın; bu haber özellikle Windows masaüstü istemcisi kullananlar için acil güncelleme çağrısı.
Ana Gelişme
Sorun iki hatanın birleşimi. İlki, tek örnek (single-instance) IPC soketinde URL’lerin OPEN:<url>; biçiminde serileştirilmesi ve noktalı virgüllerin kaçışsız bırakılması — semicolon injection ile komutların bölünmesi. İkincisi, interpret: URI işleyicisinin yetkilendirme olmadan yerel dosyaları okutup saldırgan kanalına gönderebilmesi.
Saldırı senaryosu özetle: kurban bir https bağlantısına tıklayınca özel tg:// zinciri tetiklenir; tdata anahtar materyali dışarı aktarılır ve oturum yeniden kurulabilir. Yerel parola yoksa etki daha ağır.
| Metrik | Değer |
|---|---|
| CVE | CVE-2026-107181 |
| CVSS 3.1 / 4.0 | 8.1 / 8.6 (High) |
| Etkilenen | 7.2.8 ve öncesi |
| Düzeltme | 7.2.9+ (commit db3405699f) |
Vendor düzeltmesi interpret: şemasını kaldırıyor ve IPC ayırıcılarını kaçışlıyor. Yazı Ekim 2026 başında yayımlandı; doğrulanmış in-the-wild istismar raporu yok.
Neden Önemli?
Hesap ele geçirme masaüstü istemcide oturum dosyası hırsızlığıyla hızlanır; kurumsal cihazlarda Telegram Desktop politikası gözden geçirilmeli. Mobil uygulama bu IPC zincirinden etkilenmez; risk vektörü dışarıdan açılan masaüstü deep link’leri.
Teknik Detaylar
ZDI’ye Haziran 2026’da bildirim, vendor fix Eylül 2026, 7.2.9 yayını 17 Eylül 2026. Ek önlemler: otomatik indirmeyi kapatma, grup davetlerini kısıtlama, yerel parola kullanma.
Bağlam
Desktop istemcileri, tarayıcı sandbox’ından farklı olarak yerel dosya sistemine yakın çalışır; IPC tasarım hataları tek tık saldırı yüzeyi yaratır.
Sonraki Adımlar
Tüm kullanıcılar 7.2.9 veya üzeri sürüme geçmeli; IT ekipleri sürüm envanterini doğrulamalı.
Kaynaklar
Evaluation Report
News value: High severity, clear exploit chain, patch available (7.2.9). Proximity: Telegram is widely used in Turkey — elevate reader relevance vs generic CVE news. Timeliness good (~1 day post-disclosure).
Audience fit: Strong for security-conscious developers and anyone running Telegram Desktop on work machines.
Risk & ethics: Technical blog as primary — > [!warning] Verify CVE ID, fixed version, and Telegram advisory in analysis before publication. Avoid publishing exploit PoC steps beyond what’s needed for mitigation story.
Publication strategy: standard — mitigation-first angle (update now, IPC threat model). Optional brief sidebar on mobile vs desktop.
Suggested Angle
Türkiye’de yaygın Telegram Desktop kullanımı için acil güncelleme haberi: tek tıkla tdata çalınması riski, 7.2.9+ şartı, kurumsal cihazlarda masaüstü istemci politikası. Teknik detayı sadeleştir; öncelik kullanıcı eylemi.
Editorial Notes
Onaylanan çerçeve: standard — mitigation-first; Türkiye’de Desktop kullanımı için acil güncelleme haberi.
Reporting talimatları:
- CVE-2026-107181, CVSS 8.1/8.6, <7.2.9 etkilenen — kaynaklı.
- Exploit zincirini sadeleştir; PoC adım adım yayınlama.
- 7.2.9+ güncelleme ve kurumsal masaüstü politika önerisi.
Başlık önerileri:
- Telegram Desktop: CVE-2026-107181 ile tek tık hesap ele geçirme riski (7.2.9+ şart)
- Kritik Telegram Desktop açığı: tdata sızıntısı — hemen güncelleyin
Mutlaka geçmesi gerekenler:
- Etkilenen sürümler ve düzeltme sürümü
- Dışarıdan açılan tg:// linki vektörü (mobil farkı kısa not)
- ITW exploitation yok (erken Ekim durumu)