圈小蛙
即时通讯工具作为日常工作和社交的核心枢纽，其客户端的任何底层安全缺陷都可能带来灾难性的后果。2026年10月中旬，全球数千万电脑用户常用的即时通讯软件 Telegram 桌面端（Telegram Desktop）被曝出一个足以导致用户社交账号彻底失陷的高危漏洞。
根据 OpenNet 关于 Telegram Desktop 曝出高危文件窃取漏洞的技术文章 披露，该漏洞在官方安全追踪系统中被正式编号为 CVE-2026-107181。它的存在使得黑客能够通过极其隐蔽的社交工程学手段，诱导受害者点击一条看似普通的自定义协议链接，便能在后台神不知鬼不觉地抽干用户电脑中的核心隐私文件。
IPC 分隔符失效：恶意 tg:// 链接背后的文件盗取原理
在这起漏洞的攻击链中，核心触发点在于 Telegram 桌面客户端对“tg://”自定义 URL 协议的处理逻辑上。
现代桌面操作系统通常允许应用注册特定的协议前缀（例如 tg://），以便在浏览器网页中直接拉起本地客户端执行特定动作。然而，开发团队在编写底层代码时，对协议参数中的**分号（Semicolon）**缺乏严格的转义过滤。攻击者正是利用这一疏漏，在恶意的 tg:// 链接中精心插入了分号，从而欺骗程序的进程间通信（IPC）模块，使其将原本的一条指令误认为是多条相互独立的系统级 IPC 命令。
配合应用内部自带的 interpret: 处理器，黑客成功突破了常规的目录访问白名单，实现了经典的**文件路径遍历（Path Traversal）**攻击。这意味着，受害者只要在聊天窗口或网页中随手点了一下这个精心伪造的链接，攻击者便可以在完全不弹出任何授权提示或报错窗口的情况下，直接将受害者电脑硬盘里的敏感文件（如数据库备份、浏览器 Cookie 等）打包回传。
会话密钥与加密钱包全线告急：账号劫持风险剧增
由于该漏洞允许读取本地存储的“任意文件”，其实际杀伤力远远超出了普通的信息泄漏。
首当其冲的便是 Telegram 的会话密钥（Session Keys）。一旦黑客通过该漏洞拿到了用户本地的会话认证文件，便可以直接在异地设备上“克隆”登录该账号，实现对受害者聊天记录、群组权限的完全接管，且原账号不会收到任何被挤下线的常规提示。此外，攻击者还可以借此搜寻并窃取开发者的 SSH 私钥、浏览器的凭证缓存，乃至存放在本地的冷热加密货币钱包文件，造成严重的直接经济损失。
官方紧急推送 7.2.9 补丁：用户自救与加固指南
面对这一足以引发大面积账号劫持的零日级威胁，Telegram 核心开发团队反应迅速，目前已在官方渠道推送了修复该问题的 Telegram Desktop 7.2.9 版本。
安全专家强烈建议所有使用 Windows、macOS 或 Linux 桌面端的 Telegram 用户，立即检查并完成客户端的强制更新。如果在短期内无法完成软件升级，用户在浏览外部群组或频道时，务必高度警惕任何包含 tg:// 格式的未知超链接，切勿盲目点击。同时，建议用户在 Telegram 桌面端设置中开启“本地密码（Local Passcode）”，为本地存储的会话数据库加装一层加密护盾，从而在即使遭遇客户端漏洞攻击时，也能有效保护核心资产不被轻易窃取。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️