Gefährliche Sicherheitslücke in Telegram Desktop:
Jede Datei kann mit einem Klick gestohlen werden

Was Du UNBEDINGT vermeiden solltest & wie Du Duch schützen kannst:

• Verwende keine Versionen, die älter als 7.2.9 sind – aktualisiere die App sofort‼️

Wenn Du eine inoffizielle App von einem Drittanbieter wie 46Gram verwendest, wechsele vorübergehend zur offiziellen Version, bis ein Update beim Anbieter verfügbar ist.

Download:
➡️ Telegram.org

Hinweise für Nutzer älterer Versionen:

• Links können gefährlich sein:
Lese jedes Mal, wenn Du auf einen Link klickst, das angezeigte Fenster sorgfältig durch – wenn Telegram eine ungewöhnliche Struktur in dem Link anzeigt (z. B. einen Link, der mit tg:// beginnt), öffne ihn nicht‼️

• Verwende die App nicht ohne einen lokalen Sicherheitscode:
Die Aktivierung eines Sicherheitscodes verschlüsselt die Sitzungsdateien im tdata-Verzeichnis & verhindert so eine sofortige Übernahme des Kontos, selbst wenn diese Dateien kompromittiert werden.

Was ist das Problem?

In Telegram Desktop-Versionen vor 7.2.9 wurde eine Sicherheitslücke entdeckt (CVE-2026-107181).

• Da das Semikolon-Trennzeichen „;“ nicht korrekt behandelt wurde, wurden Parameter in tg://-Links als separate IPC-Befehle interpretiert.

• Durch die Verwendung des „interpret:“-Handlers konnte ein Angreifer Dateien vom System unbemerkt an seinen eigenen Kanal senden, ohne die Bestätigung des Nutzers, indem der Nutzer auf einen speziell präparierten Link klickte.

• Die Lücke entstand, weil die App Links über einen lokalen Socket an die bereits laufende Instanz weitergab, ohne das Trennzeichen für Befehle zu maskieren.

• Ein Angreifer konnte so einen Link erstellen, der ein Semikolon enthält, wodurch zusätzliche Befehle eingeschleust werden konnten.

• Über den eingeschleusten Befehl (OPEN:) ist das interne URI-Schema (interpret:) erreichbar, das beliebige Dateien von der Festplatte liest & an einen Chat sendet, ohne Berechtigungsprüfung oder Bestätigung.

• Der Angreifer kann z. B. eine Textdatei mit Anweisungen als NachrichtenAnhang versenden; Telegram lädt sie automatisch herunter & speichert sie an einem vorhersehbaren Ort.

• Mit Unterstützung der gestohlenen Dateien (key_datas, D877F783D5D3EF8Cs) und maps konnten Angreifer die Sitzung des Opfers entschlüsseln & das Konto übernehmen.

• Der Angriff erforderte lediglich einen Klick des Opfers auf einen https-Link, der auf den präparierten tg://-Link weiterleitete.

😊 Das Hauptrisiko

Die Gefahr beschränkt sich jedoch nicht nur auf den Diebstahl von tdata-Sitzungsdateien oder die Übernahme von Telegram-Konten.
Durch die Ausnutzung der Sicherheitslücke ist es möglich, absolut jede Datei auf dem Computer, auf die der Nutzer Zugriff hat, unbemerkt zu stehlen.

Vom Datendiebstahl sind im Ernstfall neben Deinen Telegram-Konto auch betroffen:
• Dokumente,
• gespeicherte Browser-Sitzungen,
• SSH-Schlüssel,
• Systemkonfigurationen
und/oder
• Krypto-Wallets.

Denkt bitte daran, daß im Falle einer Konto-Übernahme durch Angreifer immer auch all jene Benutzer gefährdet sind, die ihre Mobilfunknummern ausgetauscht bzw. abgespeichert haben (die dem Telegram-Konto hinterlegt sind), wenn keine Zweifstufige Bestätigung aktiviert wurde.

Aktiviert also die Zweifstufige Bestätigung‼️

Telegram-Desktop hat bis zur Version 7.2.8 daher eine relevante Sicherheitslücke, die nicht zu unterschätzen ist.

Diese Lücke hat es bisher ermöglicht, mit einem einzigen Klick auf einen Link die Kontrolle über Dein Konto zu übernehmen.

Ich betone an dieser Stelle nochmals, wie wichtig es ist, achtsam & wachsam zu bleiben.
Das gilt auch dann, wenn es darum geht auf Links zu klicken!

Bitte denkt daran, die Zweifstufige Bestätigung zu aktivieren & den automatischen Mediendownload bewusst einzustellen:
👉🏽 Klicke hier zum Beitrag‼️

Die Lücke wurde in der Telegram-Version 7.2.9 behoben, die das interpret:-Schema entfernt & das Trennzeichen auf dem Socket maskiert.

#security #desktop #vulnerabilities #Hinweise #Rückrufe

Quellen und Dank an @tginfoen, @PSTC_Channel und TheGreatUnknown 🙏