(⁠◔⁠‿⁠◔⁠) Are you OK？✨ Thinking...https://tg.okhk.nethttps://tg.okhk.net/posts/11614https://tg.okhk.net/posts/11614Fri, 09 Oct 2026 10:09:24 GMT<div class="tgme_widget_message_forwarded_from accent_color">Forwarded from <a class="tgme_widget_message_forwarded_from_name" href="https://t.me/tginfocn/1004" target="_blank" rel="noopener"><span>Telegram Info 中文</span></a></div><div class="image-list-container image-list-odd"> <button type="button" class="image-preview-button image-preview-wrap" popovertarget="modal-11614-0" popovertargetaction="show" aria-label="Open image preview: Telegram Desktop 存在严重安全漏洞：一次点击即可窃取任意文件"> <img src="/static/https://cdn5.telesco.pe/file/cUZDSNzDhgkH20BJwQYQHnp99f5mC5_qHLfQ8UfPGFoO3XZ8z-MRoUmIGWQrWS2wRKjerd1enDGxjB_qk9b-SHrx3a7Jnr8Nc-PyCVL9CvWDDIYtnF48VXmMGJvUgP0OWcoqF_7QSGfwpGRGx-jlCXde2mYjvFk5gbsP3aGA2NqyJXVYvenJnvNdUM6WdCCPhqVupo6H_R7EqYfMhPCJMX8z9J9Ncfny-BgLC1-uJCa7xjFAIh-9drNrdExXaYPEK9LeJUnWhP2lEPQGgGwwzvA9HtEy3kqEgNjKateSNUA4gQSzE63pHI4HObTDLRpJzuzov5qX07F8EpiDhw0a6Q.jpg" alt="Telegram Desktop 存在严重安全漏洞：一次点击即可窃取任意文件" width="800" height="501" loading="eager" /> </button> <div class="modal" id="modal-11614-0" popover="auto" aria-label="Image preview"> <button type="button" class="modal__backdrop" popovertarget="modal-11614-0" popovertargetaction="hide" aria-label="Close image preview"></button> <button type="button" class="modal__close" popovertarget="modal-11614-0" popovertargetaction="hide" aria-label="Close image preview">×</button> <div class="modal__surface"> </div> </div> </div><b><span class="post-title-source">Telegram Desktop 存在严重安全漏洞：一次点击即可窃取任意文件</span></b><br /><br /><b>如何保护自己：</b><br /> • <b>不要继续使用低于 7.2.9 的版本</b>——请立即更新客户端。如果你使用的是非官方客户端，在相关更新发布之前，请暂时切换到官方客户端。<br /><br /><b>下载：</b>  <br /> • Windows/macOS/Linux：<a href="https://desktop.telegram.org/" target="_blank" rel="noopener" title="官方网站">官方网站</a>或 <a href="https://github.com/telegramdesktop/tdesktop/releases" target="_blank" rel="noopener" title="GitHub">GitHub</a>  <br /> • Windows：<a href="https://apps.microsoft.com/detail/9nztwsqntd0s" target="_blank" rel="noopener" title="Microsoft Store">Microsoft Store</a>  <br /> • macOS：<a href="https://apps.apple.com/us/app/telegram/id747648890" target="_blank" rel="noopener" title="App Store">App Store</a>  <br /> • Linux：<a href="https://telegram.org/dl/desktop/flatpak" target="_blank" rel="noopener" title="Flathub">Flathub</a>、<a href="https://telegram.org/dl/desktop/snap" target="_blank" rel="noopener" title="Snapcraft">Snapcraft</a><br /><br /><b>给旧版客户端用户的建议：</b><br /><br /> • <b>链接可能存在危险：点击任何链接时，都要仔细阅读弹出的窗口</b>。如果 Telegram 显示的链接结构异常（例如以 <code>tg://</code> 开头），请不要继续访问。<br /><br /> • <b>不要在未设置本地锁定码的情况下使用客户端：</b>启用锁定码功能后，<code>tdata</code> 目录中的会话文件将被加密。即使这些文件泄露，也能防止攻击者立即接管账号。<br /><br /><b>问题的本质是什么？</b><br /><br />一项漏洞 (<a href="https://opennet.me/66431/" target="_blank" rel="noopener" title="CVE-2026-107181">CVE-2026-107181</a>) 在低于 7.2.9 版本的 Telegram Desktop 客户端中被发现。由于未对分隔符 <code>;</code> 进行转义，<code>tg://</code> 协议链接中的参数会被识别为独立的 IPC 命令。攻击者可以利用专用处理程序 <code>interpret:</code>，让用户点击经过特制的链接后，在用户不知情且未获得用户确认的情况下，将系统中的文件发送到攻击者自己的频道。<br /><br /><b>主要风险</b><br /><br />风险并不局限于窃取 <code>tdata</code> 会话文件和劫持账号。利用该漏洞，攻击者可以静默窃取<b>计算机上用户有权访问的任意文件</b>，包括文档、浏览器保存的会话、SSH 密钥、系统配置文件或加密货币钱包。<br /><br /><a href="/search/result?q=%23security" title="#security">#security</a> <a href="/search/result?q=%23desktop" title="#desktop">#desktop</a> <a href="/search/result?q=%23vulnerabilities" title="#vulnerabilities">#vulnerabilities</a>