2026 年 10 月 3 日，安全研究团队 BeakSec 披露了一个编号为 CVE-2026-107181 的严重漏洞，影响 Telegram Desktop 7.2.8 及以下版本。受害者只需在外部点击一条恶意链接，其 Telegram 账号的本地凭证就会被打包静默回传给攻击者，实现一键式账户劫持。
但真正耐人寻味的是官方的处理方式。Telegram 在 2026 年 9 月 16 日提交了修复补丁，并在次日推送了 7.2.9 正式版，但在公开的更新说明里，关于这个在 CVSS 4.0 标准下达到 8.6 分的高危漏洞只字未提，只写了一句轻描淡写的“修复部分 tlottie 渲染错误”。
一个分号引发的进程通信穿透
现代桌面软件为了防止重复开启窗口，普遍采用单实例架构。当系统检测到用户点击 tg:// 链接时，如果客户端已经在后台运行，操作系统会拉起一个临时的第二进程；该进程发现已有主程序存活，便会将外部参数打包成文本，通过本地 Socket 发送给后台的主进程，随后自我退出。
问题出在数据的封包方式上。Telegram Desktop 的底层逻辑把多条指令用分号拼接成一行明文（如 OPEN:url;），接收端收到后直接按分号硬切分。
这一设计直接给注入留出了空间。攻击者构造一个附带分号的畸形链接（例如在查询参数后加上分号与新指令），临时进程会将其视为单个 URL 完整发送，但后台主进程一切割，原本的一条参数就被强行拆解成了两条独立的控制指令。
沉睡的内部特权协议
单凭参数注入还不至于致命，真正充当内鬼的是 Telegram 客户端内长期残留的一个未登记特权协议：interpret:。
该协议原本是官方团队用来执行版本自动化发布的内部脚本助手。它能直接读取本地磁盘上的配置文件，解析其中指定的本地文件路径，并在不需要用户弹窗确认的情况下，直接将文件发送到特定的聊天频道中。
只要攻击者预先把包含指令的文件写入受害者磁盘，再利用 IPC 注入调用 interpret:，客户端就会被彻底戏弄：
- 预埋指令文件在默认设置下，Telegram 群组会自动下载 8MB 以内的文件，攻击者利用公共群组把几个指令文本静默推送到受害者的系统下载目录中。
- 利用相对路径寻址由于
interpret:支持从数据目录出发的相对路径，攻击者无需知道受害者的系统用户名，就能稳健定位这几个已下载的文本文件。 - 窃取登录密钥包指令直接对准了保存会话凭证的
tdata核心目录。在未设置本地密码的情况下，读取这些文件意味着直接拿到了会话授权密钥。
所谓坚固的防御体系，往往不是被正面的重锤砸开，而是被自己忘在角落的后门轻轻推开。
恐慌之下的真实限制与修复
漏洞爆出后，“点链接就丢号”迅速在社群发酵。但在实际威胁评估中，该漏洞的成立需要环环相扣的前置环境：
- 群组文件静默下载处于开启状态（如果用户关闭了自动媒体下载，指令文件无法自动落地）。
- 必须通过外部浏览器触发重定向（应用内点击由于走内部调用不会经由本地 Socket 传递）。
- 最关键的一环在于受害者未开启“本地锁定密码”。Telegram 本地存储并非裸奔，如果用户在设置中启用了 Passcode，用于派生密钥的输入就不为空，即使黑客偷走了磁盘文件，没有主密码也无法复原有效凭证。
官方在 commit db3405699f 中彻底删除了 interpret: 内部处理逻辑，并对 IPC 命令的分隔符进行了转义。虽然 CVE 记录将漏洞影响范畴定为 7.2.9 之前的全平台版本，且共享 IPC 核心的 Linux 与 macOS 也被安全团队列入观察，但端到端利用链目前仅在 Windows 环境完成验证。截至目前，该漏洞并未列入 CISA KEV 目录，尚未发现公开的在野利用案例。
- 建议.使用桌面版的用户应立即检查版本并升至 7.2.9 或更高；更重要的是，在客户端设置中主动打开本地锁定密码（Local Passcode），切断任何依赖读取静态凭证的攻击链条。
- 风险.使用 Flatpak 或 Snap 等包管理器的 Linux 用户需额外警惕分发渠道更新延迟带来的时间差窗口。
把本该严谨披露的高危安全补丁写成“修复动画错误”，不仅剥夺了用户自查异常登录的知情权，也再次暴露出 Telegram 长期游离于行业常规治理标准之外的傲慢惯性。