Alerta Urgente: Vulnerabilidade Crítica no Telegram Desktop Permitia Tomada de Conta com Um Clique

A vulnerabilidade CVE-2026-107181 no Telegram Desktop (versões 7.2.8 e anteriores) explorou uma falha na comunicação IPC (Inter-Process Communication) para permitir a tomada de conta. O problema residia no tratamento de links tg:, onde um ponto e vírgula não escapado permitia que texto controlado por um atacante fosse interpretado como um comando válido. Essa injeção de comandos, por sua vez, abusava de um recurso interno pouco conhecido, o interpret:, uma ferramenta de desenvolvedor que existia desde dezembro de 2018.

O comando interpret: foi projetado para ler um arquivo de instrução local e enviar um arquivo especificado para um chat, sem qualquer confirmação ou verificação de quem o solicitava. Combinando a injeção via IPC com a capacidade de o Telegram Desktop baixar arquivos automaticamente (até 8 MiB) em chats, o atacante conseguia plantar arquivos de instrução maliciosos no sistema da vítima. Um clique em um link web (redirecionando para um tg: manipulado) ativava o processo, levando o Telegram a exfiltrar os três arquivos tdata cruciais para a clonagem da sessão. O atacante não precisava de senha de dois fatores ou código de SMS, desde que o usuário não tivesse configurado uma senha local no aplicativo, o que anularia a criptografia dos arquivos de sessão.

A correção para a falha CVE-2026-107181, implementada na versão 7.2.9 do Telegram Desktop, marcou o fim de um recurso de desenvolvedor que estava presente no aplicativo desde dezembro de 2018. O patch não só introduziu o escape correto para o ponto e vírgula nas comunicações IPC, mas também removeu completamente o helper interpret:. Esta mudança eliminou a funcionalidade que permitia a leitura e exfiltração de arquivos locais, fechando a brecha. Antes, a funcionalidade interna do interpret: era inofensiva, mas se tornou um vetor de ataque crítico quando combinada com a falha de injeção de comando.

Esta vulnerabilidade reforça a gravidade de falhas de "um clique", onde a interação mínima do usuário abre portas para ataques devastadores. A exfiltração dos arquivos tdata permite a clonagem completa da sessão do usuário, contornando mecanismos de segurança como 2FA e códigos SMS. Para empresas, isso significa um risco direto de acesso indevido a comunicações confidenciais e dados corporativos, caso funcionários usem o Telegram para fins profissionais. A exploração de uma ferramenta de desenvolvedor legada para uma tomada de conta é um lembrete vívido de como funcionalidades antigas e esquecidas podem se transformar em grandes riscos de segurança.