Telegram Desktop 严重漏洞可致账户被完全接管
TREE NEWS 报道， 安全研究员 BeakSec 披露了 Telegram Desktop 的一个高危漏洞，编号 CVE-2026-107181。攻击者可通过两阶段的社会工程与命令注入组合，劫持用户账户。受影响版本为 7.2.8 及更早版本，修复补丁已于 9 月 17 日随 7.2.9 版本发布。
攻击链如何运作
该漏洞并非依赖内存破坏，而是滥用了 Telegram 自身的进程间通信（IPC）机制。据披露，攻击者首先将特制的指令文件放入受害者已加入的群组，随后诱导其点击经浏览器重定向的链接，最终通过 IPC 触发命令注入。注入成功后，桌面客户端会将本地文件发送至攻击者控制的群组。
最危险的目标是 Telegram 的会话文件。一旦攻击者获取该文件，且用户未设置本地密码，会话便可被导入其他设备，攻击者从而完全控制账户——包括消息、联系人及任何关联服务。
为何影响远超单一应用
Telegram 是加密行业的关键基础设施。代币社区、DAO 治理讨论、场外交易撮合以及开发者协作都依赖它。账户被接管不仅是隐私问题，更是操作安全事件，可能进一步演变为钱包盗取或针对交易对手的社会工程攻击。
- 会话文件被盗可绕过双重验证（在未设本地密码时）。
- 攻击者可冒充项目群内的可信管理员。
- 恶意文件可传播给信任该账户的联系人。
该事件也揭示了一个更广泛的趋势：随着加密用户加强钱包与硬件密钥防护，攻击者正越来越多地转向连接他们的消息层。桌面客户端因在磁盘上持久存储会话数据，比具备更强系统沙箱的移动应用更易成为突破口。
用户与项目方应如何应对
Telegram 用户应立即升级至 7.2.9 或更高版本，并启用本地密码作为第二层防护。运营大型社区群组的项目方应审计管理员权限，轮换通过聊天共享的任何凭证，并培训管理员识别基于链接的诱饵。对加密行业而言，此事件提醒人们：操作安全是一条链，而最薄弱的环节往往是那个被所有人视为理所当然的应用。
