تعرض مستخدمو تطبيق Telegram Desktop لتهديد أمني بالغ الخطورة يتيح للمهاجمين سرقة الملفات المحلية والاستيلاء الكامل على الحسابات بمجرد نقرة واحدة على رابط خارجي.
وكشف باحث أمني في Beaksec عن هذه الثغرة في الثالث من أكتوبر 2026، ليُسند إليها لاحقاً المعرف (CVE-2026-107181 بتقييم 8.6 بحسب CVSS 4.0) وتصنيف يعادل 8.1 وفق معيار CVSS 3.1 من قِبل جهة VulnCheck في السابع من الشهر ذاته.
آلية استغلال المسارات المحلية
تكمن المشكلة في طريقة تعامل التطبيق مع الروابط المفتوحة من مصادر خارجية كالمتصفحات. عند فتح رابط خارجي أثناء تشغيل التطبيق، تُمرر البيانات إلى النسخة الفعالة عبر قناة اتصال محلية تفصل بين الأوامر باستخدام علامة برمجية خاصة.
ونتيجة لغياب آليات عزل هذه العلامة، ينجح المهاجم في حقنها ضمن رابط مصمم خصيصاً ليقرأه التطبيق كأمر مستقل. يوجه هذا الأمر المدسوس أداة داخلية قديمة لتقرأ ملفاً محلياً وترسله إلى محادثة نشطة دون إجراء أي فحص للصلاحيات أو طلب تأكيد من المستخدم.
بيئة الهجوم والشروط التشغيلية
تتطلب السلسلة الهجومية توافر شروط محددة تعتمد غالبيتها على الإعدادات الافتراضية للمنصة. يبدأ الهجوم حصراً عند فتح الضحية للرابط من خارج بيئة Telegram، في حين تظل الروابط المنقورة داخل التطبيق آمنة لمعالجتها عبر مسار مختلف.
يعتمد الاختراق على تفعيل خاصية التنزيل التلقائي لملفات المجموعات وإتاحة إمكانية إضافة المستخدم للمجموعات من قبل أي شخص. وفي حال استهداف الاستيلاء الكامل على الحساب، يشترط الهجوم غياب رمز المرور المحلي.
أثبت الباحث نجاح هذه السلسلة على نظام Windows باستخدام الإصدار 6.9.3، بينما لم يعرض أي هجوم مماثل على أنظمة macOS أو Linux.
المعالجة التقنية والإفصاح
يؤثر هذا الخلل على جميع الإصدارات التي تسبق النسخة 7.2.9. وقد عالجت Telegram الثغرة فنياً في 16 سبتمبر 2026 عبر إزالة الأداة القديمة، وتأمين علامة الفصل، وفرض قيود صارمة على معالجة الأوامر المختلطة، ليصدر التحديث النهائي 7.2.9 في اليوم التالي.
ويعود الإبلاغ الأولي عن الخلل عبر مبادرة ZDI إلى 25 يونيو، والتي أغلقت الحالة بدورها في 30 سبتمبر نظراً لإصلاح الثغرة مسبقاً.
رغم خطورة التهديد، لم تنشر الشركة المطورة نشرة أمنية رسمية، واكتفت بالإشارة إلى معالجة مشاكل بصرية ضمن ملاحظات الإصدار. وحتى الآن لا يوجد استغلال معروف في الواقع، ولم تُدرج الثغرة ضمن قائمة CISA KEV.
لتحقيق حماية شاملة، يتحتم على المستخدمين التحديث للإصدار الأحدث فوراً، وتفعيل خيار السؤال عن مكان الحفظ لإيقاف التنزيل التلقائي، وحصر الإضافة للمجموعات بجهات الاتصال، إلى جانب تفعيل رمز المرور المحلي.
