PC用のTelegram Desktopの7.2.9より前に、細工したリンクを開くとPC内のファイルが外へ送られ、アカウントの乗っ取りにつながる脆弱性CVE-2026-107181があります。CVEは2026年10月7日に公開されました。
会社が許可していないPCにTelegram Desktopが入っていることがあります。まず入っている台数と版を調べ、7.2.9以降へ更新します。
公式の資料で確かめられたこと
| 項目 | 内容 | 出どころ |
|---|---|---|
| 脆弱性 | CVE-2026-107181。区切り文字の不適切な処理(CWE-143) | CVE、NVD |
| 起きること | 細工したtg://リンクで、PC内のファイルがTelegram上の攻撃者のチャンネルへ送られる。ログインの状態を保つデータ(tdata)も含まれ、アカウント乗っ取りにつながる | CVE、NVD |
| 対象 | Telegram Desktopの7.2.9より前(7.2.8以前) | CVE、NVD、VulnCheck |
| 修正版 | 7.2.9。GitHubの公開は2026年9月17日。10月13日時点のGitHubの安定版の最新は7.3.1(10月10日) | GitHubのリリース |
| 攻撃の条件 | 細工したリンクを利用者が開く。CVSSの区分は、攻撃元「ネットワーク」・利用者の関与「必要」 | CVE、NVD |
| 深刻度 | CVSS 4.0で8.6(High)、CVSS 3.1で8.1(High)。どちらも登録元のVulnCheckの値。NVD自身の評価は未提供 | CVE、NVD |
| 発見者 | Emiliano Versini(CVEのクレジット) | CVE、VulnCheck |
| 対象のOS | CVEに記載なし。発見者側の解説は、Windowsで確かめたと書いている | 発見者側の解説 |
CVEの説明は次のとおりです。
Telegram Desktop before 7.2.9 contains an IPC record-separator injection vulnerability in Core::Sandbox that allows remote attackers to inject OPEN: records via crafted tg:// links containing unescaped semicolons.
要約すると、Telegram Desktop内部の、アプリ同士のやり取りで使う区切り文字の扱いに不備があり、外から来た細工したリンクで想定外の命令を足せる、という内容です。ここでは再現の方法は書きません。
修正の公開と、Telegramの説明
- 修正のコミットは2026年9月16日(協定世界時)です。題は「Remove legacy interpret path helper」(古い補助機能の削除)で、セキュリティの修正とは書かれていません。
- 7.2.9の変更履歴に書かれているのは「Fix some tlottie incorrect renderings」(アニメーションの表示の修正)だけです。
- GitHubのTelegram Desktopのリポジトリに、セキュリティアドバイザリの登録はありません(2026年10月13日に確認)。
発見者側の解説は、修正が静かに出たと書き、同じ内容を報告から時系列で載せています。Telegram側のこの件への説明は、確かめた資料に見当たりません。
悪用の記載
CVE・NVD・GitHubのアドバイザリに、悪用された事例の記載はありません。CVEに付いたCISAの評価(SSVC)は、悪用の項目が「poc」(概念実証が公開されている)、自動化は「no」です。「悪用が確認された」という意味ではありません。CISAの「悪用が確認された脆弱性」のカタログ(KEV)にも載っていません(2026年10月13日に確認)。
