สรุปสั้น
นักวิจัยที่ใช้ชื่อ beaksec เผยแพร่รายละเอียดทางเทคนิคพร้อม PoC ของช่องโหว่ CVE-2026-107181 ใน Telegram Desktop ช่องโหว่นี้เปิดทางให้ผู้โจมตีขโมยไฟล์ในเครื่องของเหยื่อได้หลังเหยื่อคลิกลิงก์ที่สร้างขึ้นเป็นพิเศษจากภายนอกแอป เช่น จากเบราว์เซอร์ ไฟล์ที่หลุดออกไปรวมถึงข้อมูล session ในเครื่อง ซึ่งผู้โจมตีนำไปใช้ล็อกอินบัญชีของเหยื่อต่อได้ทันทีหากเหยื่อไม่ได้ตั้ง local passcode ช่องโหว่กระทบทุกเวอร์ชันก่อน 7.2.9 คะแนน CVSS 4.0 อยู่ที่ 8.6 และ CVSS 3.1 อยู่ที่ 8.1
ต้นเหตุคือช่องทางสื่อสารระหว่างโปรเซส (IPC) ที่ Telegram ใช้ส่งต่อลิงก์ไปยังหน้าต่างที่เปิดอยู่แล้วไม่ได้ escape ตัวคั่นระเบียน ผู้โจมตีจึงแทรกคำสั่งเพิ่มเข้าไปในลิงก์ได้ และคำสั่งนั้นไปเรียกตัวช่วยเก่าที่เดิมใช้งานตอนออกรุ่นซอฟต์แวร์ ซึ่งอ่านไฟล์ในเครื่องแล้วส่งเข้าแชทโดยไม่ตรวจสิทธิ์และไม่ถามผู้ใช้ Telegram แก้ไขเงียบ ๆ ในเวอร์ชัน 7.2.9 เมื่อ 17 กันยายน 2569 โดยบันทึกการเปลี่ยนแปลงพูดถึงแค่การแก้ปัญหาการแสดงผล ขณะนี้ยังไม่พบการโจมตีจริงและยังไม่อยู่ในบัญชี KEV ของ CISA
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่า beaksec เผยแพร่บทความทางเทคนิคเมื่อ 3 ตุลาคม และอัปเดตเมื่อ 7 ตุลาคม ซึ่งเป็นวันเดียวกับที่บริษัท VulnCheck ออกหมายเลข CVE ให้ โดยจัดเป็น CWE-143 การจัดการตัวคั่นระเบียนอย่างไม่เหมาะสม ตามข้อมูลของ ThreatWire นักวิจัยรายงานช่องโหว่ผ่านโครงการ ZDI ตั้งแต่ 25 มิถุนายน 2569 Telegram แก้ในคอมมิต db3405699f เมื่อ 16 กันยายน ออกเวอร์ชัน 7.2.9 วันถัดมา และ ZDI ปิดเคสเมื่อ 30 กันยายนเพราะถือว่าแก้แล้ว
เมื่อ Telegram Desktop เปิดอยู่แล้วและผู้ใช้คลิกลิงก์ Telegram จากภายนอก ระบบจะเปิดอินสแตนซ์ใหม่ขึ้นมาส่งลิงก์ให้อินสแตนซ์เดิมผ่าน IPC แล้วปิดตัวเอง ช่องทางนี้ไม่ได้ escape ตัวอักษรที่ใช้แบ่งระเบียน ผู้โจมตีจึงฝังตัวอักษรนั้นในลิงก์เพื่อให้ Telegram อ่านส่วนหลังเป็นคำสั่งใหม่ คำสั่งที่แทรกเข้าไปเข้าถึงตัวช่วยภายในที่ล้าสมัยซึ่งเดิมใช้ตอนเผยแพร่รุ่นซอฟต์แวร์ ตัวช่วยนี้อ่านไฟล์ในเครื่องแล้วส่งเข้าแชทได้โดยไม่ตรวจสิทธิ์และไม่ขอการยืนยันจากผู้ใช้ ผลคือการขโมยไฟล์โดยใช้ Telegram เองเป็นช่องทางส่งออก
ThreatWire จงใจไม่เปิดเผยตัวคั่นที่ใช้ ชื่อตัวช่วย และขั้นตอนการโจมตีทีละขั้น และระบุว่าไม่ได้ทดลองรัน PoC เอง นักวิจัยสาธิตการโจมตีบน Windows กับ Telegram Desktop 6.9.3 และรายงานว่าช่องโหว่ยังอยู่จนถึง 7.2.8 แม้ CVE จะครอบคลุม Telegram Desktop ทั่วไป แต่บทความไม่ได้สาธิตบน macOS หรือ Linux
รายละเอียดช่องโหว่
| รายการ | รายละเอียด |
|---|---|
| CVE | CVE-2026-107181 (ออกโดย VulnCheck) |
| ประเภท | CWE-143 Improper Handling of Record Delimiters → อ่านไฟล์ในเครื่องและส่งออก |
| CVSS 4.0 | 8.6 — AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
| CVSS 3.1 | 8.1 — AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
| เวอร์ชันที่ได้รับผลกระทบ | Telegram Desktop ก่อน 7.2.9 (สาธิตบน Windows 6.9.3 ถึง 7.2.8) |
| เวอร์ชันที่แก้ไข | 7.2.9 (17 ก.ย. 2569) |
| สถานะการโจมตี | มี PoC สาธารณะ · ยังไม่พบการโจมตีจริง · ไม่อยู่ใน KEV · NVD ยังไม่วิเคราะห์ |
คำว่า “คลิกเดียว” มีเงื่อนไขกำกับที่ต้องอ่านให้ครบ ลิงก์ต้องเปิดจากภายนอก Telegram เท่านั้น ลิงก์ที่คลิกในแอปใช้เส้นทางประมวลผลคนละแบบและไม่ได้รับผลกระทบ เบราว์เซอร์อาจถามก่อนเปิดแอปเดสก์ท็อป และห่วงโซ่ที่สาธิตยังอาศัยค่าเริ่มต้น 2 อย่าง คือการดาวน์โหลดไฟล์ในกลุ่มอัตโนมัติ และการตั้งค่าที่ให้ใครก็ได้เพิ่มผู้ใช้เข้ากลุ่ม
คอมมิตที่แก้ไขทำ 3 อย่าง คือลบตัวช่วยเก่าทิ้ง escape ตัวคั่นระเบียนใน IPC และเพิ่มการจัดการกรณีที่ระเบียนต่างประเภทเข้ามาในการเชื่อมต่อเดียวกัน Telegram ไม่ได้ออกประกาศความปลอดภัย และบันทึกการเปลี่ยนแปลงของ 7.2.9 ระบุแค่การแก้ปัญหาการแสดงผล
ผลกระทบ
ปัญหาใหญ่ที่สุดไม่ใช่การอ่านไฟล์ทั่วไป แต่เป็นไฟล์ session ของ Telegram เอง ผู้โจมตีที่ได้ไฟล์เหล่านี้ไปสามารถสวมบัญชีที่ล็อกอินอยู่ได้โดยไม่ต้องรู้รหัสผ่านหรือรหัส OTP ซึ่งแปลว่าเข้าถึงแชทส่วนตัว กลุ่ม และช่องที่เหยื่อดูแลได้ทั้งหมด สำหรับผู้ที่ใช้ Telegram ประสานงานภายในทีมหรือเป็นแอดมินช่องที่มีผู้ติดตามจำนวนมาก บัญชีที่ถูกยึดยังกลายเป็นฐานส่งลิงก์อันตรายต่อไปยังผู้ติดต่อได้อีก
อีกบทเรียนคือการแก้ช่องโหว่แบบเงียบ เมื่อบันทึกการเปลี่ยนแปลงไม่บอกว่ามีการแก้ด้านความปลอดภัย ผู้ดูแลระบบที่ใช้ changelog ตัดสินลำดับการอัปเดตจะไม่รู้ว่าต้องเร่ง และ PoC ที่ออกมาหลังแพตช์ราว 3 สัปดาห์ทำให้เครื่องที่ยังไม่อัปเดตตกอยู่ในความเสี่ยงสูงขึ้นทันที ทั้งนี้ PoC สาธารณะยืนยันได้เพียงว่าโจมตีได้จริงในทางเทคนิค ยังไม่ใช่หลักฐานว่ามีการโจมตีเกิดขึ้นแล้ว ช่องโหว่นี้เป็นคนละเรื่องกับช่องโหว่ไฟล์ HTML ที่ส่งออกจากแชทของ Telegram Desktop ที่เว็บไซต์นี้รายงานไว้ในโพสต์ 2026/09/101
คำแนะนำ
- อัปเดต Telegram Desktop ทุกเครื่องเป็น 7.2.9 ขึ้นไป ตรวจเวอร์ชันได้ที่ Settings > About และใช้เครื่องมือจัดการซอฟต์แวร์ขององค์กรสำรวจเครื่องที่ติดตั้งไว้
- ระหว่างรออัปเดต ให้ปิดการดาวน์โหลดไฟล์อัตโนมัติ (ตั้งให้ถามตำแหน่งบันทึกทุกครั้ง) และจำกัดสิทธิ์การเพิ่มเข้ากลุ่มเฉพาะผู้ติดต่อ
- ตั้ง local passcode ใน Telegram Desktop เพื่อให้ไฟล์ session ที่ถูกขโมยนำไปใช้ต่อได้ยากขึ้น
- ระวังพรอมต์จากเบราว์เซอร์ที่ขอเปิด Telegram โดยไม่คาดคิด และปฏิเสธหากไม่ได้ตั้งใจคลิกลิงก์นั้น
- ผู้ที่เคยใช้เวอร์ชันที่มีช่องโหว่และสงสัยว่าถูกโจมตี ให้เข้า Active Sessions ยุติ session อื่นทั้งหมด และไล่ตรวจแชทล่าสุดหาไฟล์ที่ตนเองไม่ได้ส่ง