Error crítico en Telegram Desktop: hackers pueden robar cuentas con un solo clic

AXCESS · Octubre 09, 2026, 03:29:14 PM

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Se ha descubierto una vulnerabilidad grave en Telegram Desktop en versiones anteriores a la 7.2.9, lanzada el 17 de septiembre de 2026.

«Alguien te añade a un grupo de Telegram. Aparece un enlace en el chat. Haces clic en él y tu cuenta de Telegram deja de ser exclusivamente tuya», afirmó un investigador de seguridad que utiliza el alias BeakSEK.

El investigador explica en GitHub que las versiones vulnerables de la aplicación Telegram Desktop no gestionan correctamente ciertos caracteres en los enlaces: no escapan los puntos y coma. La propia aplicación Telegram utiliza el carácter de punto y coma ( ; ) para separar instrucciones.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Los atacantes pueden aprovechar esto para añadir comandos maliciosos en enlaces `tg://` especialmente manipulados. Por ejemplo, un atacante puede enviar un enlace con comandos maliciosos separados por puntos y coma, y la aplicación los interpreta como comandos legítimos.

El segundo defecto radica en el alcance del comando inyectado.

Los atacantes solo tienen a su disposición cuatro comandos, y tres de ellos son inofensivos.
«Los atacantes pueden acceder al controlador del esquema *interpret:* para cargar archivos locales —incluidas las claves de sesión *tdata*— a un canal controlado por el atacante, lo que permite la toma de control de la cuenta», señala la descripción en la Base de Datos Nacional de Vulnerabilidades del NIST.

La función interna *interpret:* puede ejecutar una acción privilegiada: leer cualquier archivo del disco y enviarlo a un chat sin solicitar confirmación alguna.

Esta herramienta fue diseñada para uso interno y de confianza por parte de los desarrolladores de Telegram, pero no verificaba quién solicitaba la acción.

La vulnerabilidad tiene una puntuación de 8,6 sobre 10 en la escala de gravedad CVSS y se le ha asignado el identificador CVE-2026-10718.

La versión más reciente de Telegram es la 7.3, lanzada el 9 de octubre con una única palabra en las notas de la versión: «Money» (Dinero).

¿Cómo sería un ataque real?

El investigador detalló una prueba de concepto en la que un atacante crea un "supergrupo" en Telegram y añade a las víctimas, algo que permiten los ajustes de privacidad predeterminados de la aplicación.

Dentro del grupo, el atacante publica tres archivos de texto (.txt) con instrucciones diseñadas específicamente, los cuales Telegram descarga automáticamente en los equipos de las víctimas.

"Telegram Desktop, en su configuración predeterminada, descarga automáticamente los archivos recibidos en grupos siempre que no superen los 8 MiB (mebibytes),"
explica el investigador.

A continuación, el atacante publica un enlace que parece inofensivo, pero que en realidad redirige a un enlace malicioso con el protocolo `tg:` que contiene comandos inyectados.

Si una víctima hace clic en él, su sistema iniciará un segundo proceso de Telegram y se ejecutarán los comandos. La aplicación de Telegram filtrará archivos que permitirán al atacante recuperar la sesión y la cuenta de la víctima.

Los tres archivos de instrucciones especifican qué archivos deben exfiltrarse: la clave de cifrado local, los datos de autorización de la sesión y el índice de los datos almacenados de la cuenta. El uso de rutas relativas permite localizar los archivos de destino sin necesidad de conocer el nombre de usuario de Windows de la víctima.

Así, el atacante puede simplemente colocar los archivos robados en una nueva instancia de Telegram y restaurar la sesión de la víctima, siempre y cuando no se haya establecido un código de acceso local.

BeakSec insta a los usuarios a actualizar las aplicaciones de Telegram Desktop a la última versión disponible y a limitar quién puede añadirlos a grupos. El investigador también recomienda establecer un código de acceso local y activar la opción de preguntar dónde guardar cada archivo, ya que esto impide las descargas automáticas.

Fuente:
CyberNews
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Error crítico en Telegram Desktop: hackers pueden robar cuentas con un solo clic

AXCESS

Octubre 09, 2026, 03:29:14 PM