PoC ช่องโหว่ Telegram Desktop CVE-2026-107181 ถูกเผยแพร่ — คลิกลิงก์เดียวจากเบราว์เซอร์ ขโมยไฟล์ในเครื่องรวมถึง session จนยึดบัญชีได้ แก้แล้วในเวอร์ชัน 7.2.9
นักวิจัย beaksec เผยแพร่ PoC ช่องโหว่ CVE-2026-107181 ใน Telegram Desktop ก่อนเวอร์ชัน 7.2.9 คะแนน CVSS 4.0 อยู่ที่ 8.6 ช่องทาง IPC ที่รับลิงก์จากภายนอกไม่ escape ตัวคั่นระเบียน ผู้โจมตีจึงแทรกคำสั่งไปเรียกตัวช่วยเก่าที่อ่านไฟล์ในเครื่องแล้วส่งเข้าแชทได้ ไฟล์ session ที่ถูกขโมยใช้ยึดบัญชีได้หากไม่ได้ตั้ง local passcode ช่องโหว่แก้แล้วในเวอร์ชัน 7.2.9 และยังไม่พบการโจมตีจริง