Se ha revelado una prueba de concepto pública sobre un fallo de seguridad en Telegram Desktop (CVE-2026-107181) que permitiría a los atacantes robar archivos locales y tomar control de cuentas si el usuario hace clic en un enlace externo manipulado. Esta vulnerabilidad afecta a versiones anteriores a la 7.2.9 y posee una calificación de gravedad alta (8.6) según CVSS 4.0.

Una prueba de concepto pública ha expuesto un fallo en Telegram Desktop que podría permitir a los atacantes robar archivos locales y tomar el control de cuentas después de que tú hagas clic en un enlace externo manipulado. Identificada como CVE-2026-107181, la vulnerabilidad afecta a las versiones anteriores a la 7.2.9 y tiene una calificación de severidad CVSS 4.0 de 8.6 (Alta).

El investigador Beaksec publicó el informe técnico el 3 de octubre de 2026 y lo actualizó el 7 de octubre. VulnCheck asignó el CVE ese mismo día. El ataque reportado alcanza los datos de la sesión local de Telegram, haciendo posible la toma de control de la cuenta cuando tú no hayas activado un código de acceso local.

La debilidad reside en cómo Telegram Desktop gestiona los enlaces abiertos fuera de la aplicación. Cuando Telegram ya se está ejecutando, otra instancia le pasa el enlace a través de un canal de comunicación local, conocido como comunicación entre procesos, o IPC.

Ese canal no escapaba un carácter utilizado para separar registros. Un atacante podría colocar dicho carácter dentro de un enlace manipulado y hacer que Telegram lea parte del enlace como otro comando. El registro del CVE clasifica esto como CWE-143, manejo inadecuado de delimitadores de registros.

PoC publicada para el fallo de Telegram Desktop

Según la investigación de ThreatWire, el comando inyectado podría acceder a un asistente interno obsoleto diseñado para la publicación de versiones. El asistente podría leer archivos locales y enviarlos a un chat sin comprobaciones de permisos ni confirmación del usuario.

El resultado es el robo de archivos a través del propio Telegram. Los archivos de sesión robados podrían permitir que un atacante reutilice tu cuenta iniciada. Informes anteriores sobre el secuestro de cuentas de Telegram a través de buzones de voz muestran otra ruta hacia la pérdida de la cuenta, pero ese método es independiente de esta vulnerabilidad de Escritorio.

El investigador demostró la cadena en Windows utilizando Telegram Desktop 6.9.3 e informó que seguía presente hasta la 7.2.8. Aunque el CVE cubre Telegram Desktop en general, el informe no demuestra el ataque en macOS o Linux.

El enlace debe abrirse fuera de Telegram, como desde un navegador. Los enlaces en los que hagas clic dentro de Telegram siguen una ruta de procesamiento diferente y no se ven afectados. Es posible que el navegador también te pida permiso antes de lanzar la aplicación de escritorio.

La cadena demostrada depende de las descargas automáticas de archivos de grupo y de los ajustes que permitan que cualquier persona te añada a un grupo. Estas condiciones son importantes al juzgar la afirmación de "un solo clic". La cobertura previa de EvilVideo también destacó los ajustes de descarga, aunque aquel problema afectaba a Telegram para Android y no a la versión de Escritorio.

Telegram solucionó el problema en el commit db3405699f el 16 de septiembre y lanzó la versión 7.2.9 el 17 de septiembre. Los cambios reportados eliminan el asistente heredado, escapan el separador de registros y refuerzan el manejo de tipos de registros mixtos.

Las notas de la versión mencionan solo una corrección de renderizado, no el problema de seguridad. No se ha identificado ningún aviso de seguridad del proveedor en los informes suministrados. La puntuación CVSS 3.1 es 8.1, mientras que la CVSS 4.0 es 8.6. Ambas calificaciones describen el mismo fallo.

Debes actualizar cada instalación de Telegram Desktop a la versión 7.2.9 o posterior. Hasta entonces, restringe las invitaciones a grupos, detén las descargas automáticas y activa un código de acceso local. Trata con cautela las solicitudes inesperadas del navegador para abrir Telegram.

A fecha de 9 de octubre, los informes suministrados no identifican ninguna explotación conocida ni listado en el KEV de la CISA. Una PoC pública demuestra la viabilidad, no ataques confirmados. El informe público no debe confundirse con una confirmación de ataque independiente. Si sospechas que has estado expuesto, debes cerrar otras sesiones activas y revisar tus chats en busca de subidas de archivos inesperadas.

Fuentes:
https://cybersecuritynews.com/poc-released-for-telegram-desktop-flaw/