« Votre compte Telegram n’est plus seulement le vôtre » : une faille de Telegram Desktop permettait de voler un compte en un clic
Un chercheur en sécurité a découvert une vulnérabilité dans la version desktop de Telegram qui permettait, à partir d’un simple lien cliqué, de dérober les fichiers de session d’un utilisateur et de prendre le contrôle de son compte..
Une faille de sécurité majeure a été identifiée dans Telegram Desktop, la version bureau de l'application de messagerie Telegram, par le chercheur en cybersécurité BeakSec. Cette vulnérabilité, référencée CVE-2026-107181 et notée 8,6 sur 10 sur l'échelle de gravité, permettait à un attaquant de prendre le contrôle complet d'un compte Telegram en exploitant une mauvaise gestion des points-virgules dans les URLs. La faille concernait toutes les versions de l'application jusqu'à la 7.2.8 et a été confirmée sur le système d'exploitation Windows. Le chercheur a révélé les détails de l'attaque le 7 octobre 2026, bien que Telegram ait corrigé le problème dès le 16 septembre 2026 sans en informer publiquement les utilisateurs.
L'attaque reposait sur une confusion entre une donnée et une commande dans le traitement des liens par Telegram Desktop. Lorsqu'un lien de type tg:// est ouvert, l'application le transmet à une instance déjà active via un canal local entre processus. Le lien est alors converti en texte sous la forme OPEN:<url>;, où OPEN: indique à Telegram d'ouvrir l'adresse qui suit et le point-virgule (;) marque la fin de l'instruction. Cependant, Telegram ne protégeait pas les points-virgules présents dans l'URL elle-même. Un attaquant pouvait donc en insérer dans le lien, ce qui provoquait une interprétation erronée : le processus émetteur considérait ces points-virgules comme des caractères normaux de l'URL, tandis que l'application réceptrice les interprétait comme des séparateurs de commandes. Cela permettait d'envoyer plusieurs instructions simultanément.
Parmi les commandes envoyées frauduleusement, l'une activait un outil interne de Telegram, conçu à l'origine pour publier les mises à jour de l'application. Cet outil pouvait être détourné pour envoyer un fichier vers une conversation Telegram où se trouvait la victime. Telegram enregistrait automatiquement ce fichier sur l'ordinateur de la victime. Ce fichier contenait les fichiers de session, qui permettent à un utilisateur de rester connecté à son compte sans avoir à ressaisir ses identifiants. Si la victime n'avait pas configuré de code d'accès (mot de passe) dans son application Telegram, ces fichiers suffisaient pour prendre le contrôle de son compte depuis un autre appareil. Il suffisait donc à la victime de cliquer sur un lien malveillant dans un groupe Telegram pour que son compte soit compromis.
Telegram a corrigé la faille le 16 septembre 2026 en publiant la version 7.2.9 le lendemain. Cependant, la communication autour de cette correction a été très limitée. La note de version associée à cette mise à jour mentionnait uniquement un problème d'affichage et le retrait d'un ancien utilitaire, sans évoquer la faille de sécurité. Aucun avis de sécurité public n'a été publié par Telegram pour informer ses utilisateurs du risque encouru ou de la correction apportée. Le correctif a supprimé la fonction défaillante et a empêché désormais les points-virgules contenus dans un lien d'être interprétés comme des séparateurs de commandes, bloquant ainsi l'exploitation de la vulnérabilité.
Pour exploiter cette faille, un attaquant devait d'abord ajouter la victime à un groupe Telegram. Ensuite, il suffisait de poster un lien malveillant dans ce groupe. Lorsque la victime cliquait sur ce lien, l'attaque se déclenchait automatiquement. Par exemple, un lien comme *tg://open?path=/;export_session* pouvait être interprété comme deux commandes distinctes : *OPEN:tg://open?path=/* et *export_session*. La première ouvrait une fenêtre, tandis que la seconde déclenchait l'envoi des fichiers de session vers le groupe, permettant à l'attaquant de récupérer ces fichiers et de prendre le contrôle du compte. Ce scénario illustre comment une simple action, comme cliquer sur un lien, peut avoir des conséquences graves sur la sécurité d'un compte en ligne.
