Faille Telegram Desktop : un clic suffisait à voler un compte
Une faille Telegram Desktop permettait de prendre le contrôle d'un compte via un simple lien, selon le chercheur BeakSec.
Une faille Telegram a permis de détourner des comptes sur ordinateur. Il n’y avait ni mot de passe volé ni logiciel espion. En effet, il suffisait que la victime clique sur un lien. Le chercheur BeakSec a publié le 7 octobre 2026 la version finale de sa chaîne d’attaque. Elle visait Telegram Desktop, le client bureau de la messagerie. Pourtant, l’éditeur avait déjà corrigé le problème un mois plus tôt, sans bruit.
Cette vulnérabilité est référencée CVE-2026-107181. Elle est notée 8,6 sur 10. Par ailleurs, elle touchait toutes les versions jusqu’à la 7.2.8. Sa confirmation a été faite sur Windows.
Un scénario d’attaque très simple pour la victime
Côté utilisateur, rien ne paraissait suspect. D’abord, un inconnu ajoutait la cible à un groupe. Ensuite, il postait un lien dans la conversation. Enfin, un clic suffisait à déclencher la suite.
« Vous cliquez dessus, et votre compte Telegram n’est plus seulement le vôtre », résume BeakSec en introduction de son billet. La formule est un peu dramatique. Pourtant, elle décrit bien le résultat possible : un compte contrôlé par un tiers.
Comment un point-virgule ouvrait la porte
Le défaut reposait sur une confusion entre une donnée et une commande. Un lien de type tg:// peut être ouvert depuis un navigateur. Dans ce cas, Telegram Desktop le transmet à l’instance déjà lancée. Ce transfert passe par un canal local entre deux processus.
Le lien est alors converti en une chaîne de texte de la forme OPEN:<url>;. Le préfixe OPEN: demande d’ouvrir l’adresse qui suit. Le point-virgule, lui, marque la fin de l’instruction.
Le problème venait de là : Telegram ne neutralisait pas les points-virgules présents dans l’URL elle-même. Un attaquant pouvait donc en glisser dans son lien. Le processus émetteur les prenait pour de simples caractères d’adresse. En revanche, l’application réceptrice y voyait la fin d’une commande. Elle y voyait aussi le début d’une autre.
Ainsi, un seul clic pouvait lancer plusieurs commandes à la suite. L’une d’elles activait un outil interne. Cet outil était conçu à l’origine pour publier les mises à jour de l’application. Il envoyait un fichier vers une conversation en suivant une liste d’instructions.
L’attaquant n’avait qu’à déposer cette liste dans un groupe où se trouvait la victime. Telegram l’enregistrait alors automatiquement sur l’ordinateur. Enfin, au moment du clic, l’application expédiait à l’attaquant les fichiers qui maintiennent la session ouverte.
Si la victime n’avait pas défini de code d’accès local dans Telegram, ces fichiers suffisaient. Par conséquent, l’attaquant pouvait ouvrir le compte depuis une autre machine. Il pouvait aussi en prendre le contrôle.
Une faille Telegram corrigée sans avis de sécurité
Le calendrier est important. BeakSec a signalé le problème le 25 juin. Telegram a livré son correctif le 16 septembre. Ensuite, la version 7.2.9 est sortie le lendemain.
Toutefois, la communication a été minimale. Selon le chercheur, la note de version ne parlait que d’un problème d’affichage. De plus, la modification décisive portait un intitulé anodin. Il annonçait le retrait d’un ancien utilitaire. Aucun avis de sécurité n’a accompagné la mise à jour.
Le correctif supprime la fonction défaillante. Par ailleurs, il empêche désormais les points-virgules d’un lien d’être lus comme des séparateurs de commandes. Autrement dit, la confusion entre donnée et instruction n’est plus possible.
Telegram a réagi le lundi 12 octobre à la publication de BeakSec. L’éditeur affirme que le problème est réglé depuis la mi-septembre. Selon lui, toutes les applications Telegram Desktop à jour sont protégées. Il juge aussi le risque pratiquement nul. En effet, un pirate aurait dû convaincre l’utilisateur de cliquer, puis de valider l’ouverture d’un lien suspect. En outre, il aurait dû connaître le chemin exact du fichier visé sur le système.
Ces conditions limitent l’exploitation, mais elles ne l’excluent pas. Le silence initial de l’éditeur reste donc discutable. En effet, les utilisateurs n’ont pas eu l’information nécessaire pour mesurer l’enjeu d’une mise à jour.
Ce qu’il faut retenir
- Mettez à jour Telegram Desktop vers la version 7.2.9 ou une version plus récente. Les versions jusqu’à la 7.2.8 sont vulnérables à la CVE-2026-107181.
- Activez un code d’accès local dans Telegram. En effet, sans lui, les fichiers de session volés permettaient de reprendre le compte ailleurs.
- Méfiez-vous des groupes inconnus. Évitez notamment de cliquer sur les liens postés par des inconnus, surtout ceux de type
tg://. - Vérifiez vos sessions actives dans les paramètres de l’application. Fermez ensuite toute session que vous ne reconnaissez pas.
- Ne comptez pas sur les notes de version. Cet épisode montre en effet qu’un correctif de sécurité peut passer inaperçu. Il vaut donc mieux installer les mises à jour dès leur publication.