Telegram Desktop: CVE-2026-107181 ile tek tık hesap ele geçirme riski
Araştırmacı beaksec, Telegram Desktop için CVE-2026-107181 açığını detaylandırdı: tek tıkla tg:// zinciri, yerel oturum dosyalarının (tdata) çalınmasına ve tam hesap ele geçirmeye yol açabiliyor. Türkiye’de hem mobil hem masaüstü kullanım yaygın; bu haber özellikle Windows masaüstü istemcisi kullananlar için acil güncelleme çağrısı.
Ana Gelişme
Sorun iki hatanın birleşimi. İlki, tek örnek (single-instance) IPC soketinde URL’lerin OPEN:<url>; biçiminde serileştirilmesi ve noktalı virgüllerin kaçışsız bırakılması — semicolon injection ile komutların bölünmesi. İkincisi, interpret: URI işleyicisinin yetkilendirme olmadan yerel dosyaları okutup saldırgan kanalına gönderebilmesi.
Saldırı senaryosu özetle: kurban bir https bağlantısına tıklayınca özel tg:// zinciri tetiklenir; tdata anahtar materyali dışarı aktarılır ve oturum yeniden kurulabilir. Yerel parola yoksa etki daha ağır.
| Metrik | Değer |
|---|---|
| CVE | CVE-2026-107181 |
| CVSS 3.1 / 4.0 | 8.1 / 8.6 (High) |
| Etkilenen | 7.2.8 ve öncesi |
| Düzeltme | 7.2.9+ (commit db3405699f) |
Vendor düzeltmesi interpret: şemasını kaldırıyor ve IPC ayırıcılarını kaçışlıyor. Yazı Ekim 2026 başında yayımlandı; doğrulanmış in-the-wild istismar raporu yok.
Saldırı, kurbanı genellikle bir süper gruba ekleyip otomatik indirilen talimat dosyalarıyla zinciri başlatıyor; sosyal mühendislik katmanı teknik açığı tamamlıyor. Geliştiriciler için ders: IPC protokolünde metin tabanlı komut birleştirme, URL ve dosya yolu gibi adversarial girdilerle injection yüzeyi oluşturur — kaçış ve şema minimizasyonu şart.
Neden Önemli?
Hesap ele geçirme masaüstü istemcide oturum dosyası hırsızlığıyla hızlanır; kurumsal cihazlarda Telegram Desktop politikası gözden geçirilmeli. Mobil uygulama bu IPC zincirinden etkilenmez; risk vektörü dışarıdan açılan masaüstü deep link’leri.
Teknik Detaylar
ZDI’ye Haziran 2026’da bildirim, vendor fix Eylül 2026, 7.2.9 yayını 17 Eylül 2026. Ek önlemler: otomatik indirmeyi kapatma, grup davetlerini kısıtlama, yerel parola kullanma.
Bağlam
Desktop istemcileri, tarayıcı sandbox’ından farklı olarak yerel dosya sistemine yakın çalışır; IPC tasarım hataları tek tık saldırı yüzeyi yaratır.
Sonraki Adımlar
Tüm kullanıcılar 7.2.9 veya üzeri sürüme geçmeli; IT ekipleri sürüm envanterini doğrulamalı.
Kurumsal politika önerisi: iş cihazlarında Telegram Desktop varsa otomatik güncelleme zorunlu, bilinmeyen tg:// linkleri için kullanıcı eğitimi ve mümkünse ayrı kişisel cihaz politikası. Güvenlik ekipleri CVE-2026-107181’i kritik öncelikte patch penceresine almalı; Tenable ve VulnCheck gibi beslemeler IOC ve sürüm taraması için kullanılabilir.