Una grave vulnerabilidad en Telegram Desktop demuestra que, en determinadas condiciones, un solo clic sobre un enlace manipulado podía terminar exponiendo archivos del ordenador e incluso permitir el secuestro de la sesión activa de Telegram.
El fallo ha sido identificado como CVE-2026-107181 y afecta a versiones de Telegram Desktop anteriores a 7.2.9. La vulnerabilidad combina un problema en la comunicación interna entre procesos de la aplicación con una antigua función interna capaz de acceder a archivos locales.
El resultado es especialmente preocupante porque el atacante no necesitaba conocer la contraseña de Telegram ni comprometer previamente los servidores de la plataforma.
El ataque se producía desde la propia computadora de la víctima después de que ésta interactuara con un enlace especialmente preparado.
Y si Telegram Desktop no tenía configurado un código de acceso local, los archivos de sesión obtenidos podían utilizarse para reconstruir el acceso a la cuenta.
La vulnerabilidad ya está corregida. Los usuarios deben utilizar Telegram Desktop 7.2.9 o cualquier versión posterior.
Puede leer también | Herramientas esenciales para proteger tu Sistema Operativo Linux de Hackers
CVE-2026-107181: qué ocurrió realmente
La vulnerabilidad fue descubierta por el investigador de seguridad Emiliano Versini, conocido como BeakSec.
El investigador encontró una combinación de dos problemas dentro de Telegram Desktop.
Por separado podían parecer limitados.
Juntos permitían construir una cadena de ataque mucho más peligrosa.
Enlace manipulado
|
v
Telegram Desktop
|
v
inyección en comunicación interna
|
v
función interna heredada
|
v
leer archivo local
|
v
enviarlo a un chat
El impacto final era:
- Lectura de archivos locales.
- Exfiltración de archivos.
- Robo de determinados archivos de sesión.
- Posible secuestro de la cuenta.
La clasificación oficial es Alta, no Crítica
Algunos titulares han descrito el problema como una vulnerabilidad crítica.
Sin embargo, técnicamente la clasificación actual es:
CVE-2026-107181
CVSS 4.0: 8.6 / 10
Severidad: HIGHEn CVSS 3.1 tiene una puntuación:
8.1 / 10Por tanto, la descripción más precisa es:
vulnerabilidad de severidad alta con impacto potencialmente muy grave.
¿Por qué era posible atacar Telegram con un enlace?
Telegram Desktop registra en el sistema operativo un esquema especial:
tg://Ese esquema permite abrir acciones directamente dentro de Telegram.
Por ejemplo, conceptualmente:
Sistema operativo
|
v
detecta enlace tg://
|
v
abre Telegram Desktop
Esto es completamente normal.
Muchas aplicaciones registran protocolos personalizados.
El problema estaba en lo que ocurría cuando Telegram Desktop ya estaba abierto.
Telegram utiliza comunicación entre procesos
Supongamos que Telegram ya está ejecutándose.
El usuario hace clic en un enlace destinado a Telegram.
El sistema operativo puede iniciar una segunda instancia temporal.
Entonces ocurre algo parecido a:
Telegram ya abierto
|
|
+--------------------+
|
Nuevo proceso Telegram |
| |
+---- socket local --+
|
v
instancia principal
La segunda instancia transmite el enlace hacia la aplicación que ya estaba abierta.
Este mecanismo se conoce como:
IPC — Inter-Process Communicationo comunicación entre procesos.
El problema estaba en cómo Telegram separaba los comandos
Para enviar esa información mediante el canal interno, Telegram utilizaba un formato sencillo.
Determinados caracteres actuaban como separadores entre instrucciones.
Pero uno de esos separadores no era correctamente neutralizado antes de transmitir el contenido.
Conceptualmente:
dato recibido
|
v
Telegram espera:
UNA instrucción
|
v
carácter especial
|
v
Telegram interpreta:
VARIAS instrucciones
Esto permitió una forma de:
IPC record injectionclasificada como:
CWE-143
Improper Neutralization of Record DelimitersLa vulnerabilidad por sí sola todavía necesitaba otra pieza
Conseguir introducir una instrucción adicional no significaba automáticamente obtener archivos.
El investigador encontró entonces otra función interna de Telegram Desktop.
Su nombre era:
interpret:Esta función había sido creada originalmente como parte de herramientas internas utilizadas para publicar versiones de Telegram.
Podía:
- Abrir un archivo de instrucciones.
- Leer otro archivo indicado allí.
- Enviar ese archivo a un canal o supergrupo.
Una antigua herramienta interna terminó convirtiéndose en una pieza del ataque
La función tenía sentido dentro de un entorno controlado de desarrollo.
Pero existía un problema fundamental.
No realizaba una comprobación suficientemente fuerte sobre quién estaba solicitando la acción.
Tampoco solicitaba confirmación al usuario antes de enviar el archivo.
La combinación fue:
Fallo 1
inyección IPC
+
Fallo 2
función interpret:
sin confirmación adecuada
|
v
LECTURA Y ENVÍO
DE ARCHIVOS
El atacante podía acceder a archivos del usuario
La consecuencia no se limitaba a Telegram.
Una vez construida correctamente la cadena, podía intentarse acceder a archivos que el proceso Telegram tuviera permiso para leer.
Eso podría incluir, dependiendo del sistema y configuración:
- Documentos.
- Archivos de configuración.
- Credenciales almacenadas en archivos.
- Claves SSH.
- Tokens.
- Archivos de sesión.
- Información relacionada con Telegram.
Por eso el riesgo es mayor que simplemente:
“alguien puede cerrar Telegram”.
Estamos hablando de una vulnerabilidad de exfiltración de archivos locales.
El objetivo más peligroso eran los archivos de sesión de Telegram
Telegram Desktop almacena localmente los datos necesarios para mantener una sesión abierta.
Eso permite que normalmente podamos cerrar y abrir la aplicación sin introducir nuevamente el número de teléfono y el código de autenticación.
La estructura se encuentra dentro de:
tdataLos archivos contienen información cifrada relacionada con la autorización y los datos locales de Telegram.
Robar una sesión puede ser más peligroso que robar una contraseña
En muchos servicios web existe algo equivalente:
Usuario | v contraseña + MFA | v servidor | v cookie de sesión
Después de autenticar correctamente, la cookie evita que el usuario tenga que repetir el login continuamente.
Telegram Desktop utiliza un concepto similar mediante sus credenciales locales de sesión.
Si un atacante consigue una sesión válida:
No necesita necesariamente conocer la contraseña ni volver a completar todo el proceso de login
porque intenta reutilizar una sesión ya autorizada.
El código de acceso local de Telegram cambia considerablemente el escenario
Telegram Desktop permite configurar un:
Local Passcodeo código de acceso local.
Cuando no existe ese código, parte del material utilizado para proteger los datos locales deriva de un valor vacío combinado con información almacenada localmente.
En esas condiciones, el investigador pudo reconstruir la información necesaria para utilizar la sesión.
Con un código local fuerte, robar los archivos no equivale automáticamente a robar la cuenta
Esta diferencia es extremadamente importante.
Sin código local:
archivos tdata robados
|
v
reconstruir claves
|
v
abrir sesión
Con código local:
archivos tdata robados
|
v
datos protegidos
por código local
|
v
el atacante todavía
necesita ese secreto
El investigador aclara que activar el código local no impide que los archivos sean robados.
Lo que hace es dificultar decisivamente que esos archivos permitan abrir inmediatamente la sesión.
El ataque necesitaba interacción de la víctima
CVE-2026-107181 no era un ataque completamente automático.
La víctima debía realizar una acción:
hacer clic en un enlace.
Por eso el vector CVSS incluye interacción del usuario.
El escenario general era:
Atacante | v envía enlace aparentemente normal | v víctima hace clic | v navegador | v redirección hacia Telegram | v cadena vulnerable
El enlace podía parecer un HTTPS normal
Este punto hacía el ataque especialmente engañoso.
El enlace visible no necesitaba comenzar directamente con:
tg://Podía parecer una dirección web convencional:
https://...y posteriormente realizar una redirección hacia Telegram.
Dependiendo del navegador y de la configuración del sistema, podía aparecer una confirmación preguntando si el usuario deseaba abrir Telegram.
Por eso “un solo clic” necesita contexto
El titular es técnicamente razonable para describir la demostración realizada.
Pero no significa:
recibir mensaje
|
v
cuenta robada automáticamente
La cadena necesitaba condiciones concretas.
Entre ellas:
- Telegram Desktop vulnerable.
- Interacción con un enlace.
- Determinadas condiciones para colocar previamente información utilizada por la cadena.
- Telegram Desktop en ejecución.
- Ausencia de código local para el secuestro inmediato de sesión demostrado.
El ataque aprovechaba además la descarga automática
Telegram Desktop puede descargar automáticamente determinados archivos recibidos en grupos.
En la configuración utilizada por el investigador, archivos suficientemente pequeños podían quedar almacenados automáticamente dentro de una ubicación conocida.
Eso resolvía otro problema para el atacante:
conseguir que el archivo utilizado por la cadena estuviera previamente en el disco.
Conceptualmente:
Grupo Telegram
|
v
archivo pequeño
|
v
descarga automática
|
v
ruta conocida
Posteriormente el enlace podía intentar hacer referencia a ese archivo.
No necesitas abrir manualmente el archivo adjunto
Éste es otro aspecto importante de la investigación.
La cadena demostrada podía aprovechar la descarga automática.
La víctima no tenía necesariamente que abrir el archivo utilizado internamente por el exploit.
El paso visible realmente importante era el clic sobre el enlace.
Telegram ya corrigió CVE-2026-107181
La vulnerabilidad quedó corregida mediante un cambio incorporado al código de Telegram Desktop el:
16 de septiembre de 2026y la versión que contiene la corrección fue publicada al día siguiente:
Telegram Desktop 7.2.9La solución realiza varios cambios.
Primera corrección: eliminar la función interpret
Telegram eliminó completamente la antigua ruta:
interpret:y su función asociada.
Esto elimina una de las dos piezas fundamentales utilizadas por la cadena.
Segunda corrección: escapar correctamente el separador IPC
Telegram modificó además cómo transmite los datos entre las instancias de la aplicación.
Ahora los caracteres que podrían confundirse con separadores de instrucciones son codificados antes de enviarse y decodificados posteriormente de manera controlada.
Conceptualmente:
ANTES
dato
+
separador
|
v
confusión
entre dato y comando
AHORA
dato
|
v
codificación
|
v
IPC
|
v
decodificación segura
Telegram añadió además nuevas restricciones
La corrección no se limita únicamente al separador.
El cambio incorporó controles adicionales para impedir determinadas combinaciones de comandos dentro de la misma comunicación y restringir el tratamiento de rutas locales en ciertos contextos.
Esto sigue un principio importante de seguridad:
no corregir únicamente el payload conocido, sino romper varias partes de la cadena de ataque.
La corrección llegó antes de que se asignara el CVE
La cronología resulta particularmente interesante.
| Fecha | Evento |
|---|---|
| 25 junio 2026 | Vulnerabilidad reportada mediante ZDI |
| 16 septiembre | Telegram incorpora la corrección |
| 17 septiembre | Telegram Desktop 7.2.9 publicado |
| 3 octubre | Investigador publica detalles técnicos |
| 7 octubre | Se asigna CVE-2026-107181 |
Por tanto, cuando apareció públicamente el detalle completo, ya existía una versión corregida.
La corrección pasó prácticamente desapercibida
Existe un detalle curioso.
Las notas públicas de Telegram Desktop 7.2.9 mencionaban principalmente una corrección relacionada con renderizado.
No aparecía un gran aviso diciendo:
SECURITY UPDATEEl cambio de código que cerró la vulnerabilidad utilizó una descripción relacionada con la eliminación de un antiguo helper interno.
La importancia de seguridad se hizo mucho más evidente posteriormente, cuando el investigador publicó su análisis.
Actualmente ya existen versiones más recientes
Los usuarios no necesitan buscar específicamente una copia antigua de 7.2.9.
La regla es mucho más sencilla:
utilizar Telegram Desktop 7.2.9 o superior.
Actualmente el proyecto ya ha publicado versiones posteriores.
Por tanto:
7.2.8 o anterior
|
v
ACTUALIZAR
7.2.9 o posterior
|
v
corrección incluida
Cómo saber qué versión de Telegram Desktop tienes
Dentro de Telegram Desktop puedes revisar:
Settings | v Advanced | v Version
Dependiendo del paquete y plataforma, la información también puede aparecer dentro de:
Help About
Lo importante es comprobar que la versión no sea:
7.2.8ni ninguna anterior.
En Linux también debes comprobar de dónde instalaste Telegram
Los usuarios Linux pueden tener Telegram instalado mediante diferentes mecanismos:
- Paquete de la distribución.
- Flatpak.
- Snap.
- Binario oficial.
- Repositorio externo.
Por eso no basta con pensar:
“mi Linux está actualizado”.
Conviene verificar específicamente la versión de Telegram Desktop.
En Debian y Ubuntu
Si Telegram fue instalado como paquete del sistema:
apt policy telegram-desktopTambién puede comprobarse:
telegram-desktop --versionsi el paquete proporciona esa opción correctamente en la versión utilizada.
En Fedora
dnf info telegram-desktopEn Arch Linux
pacman -Qi telegram-desktopPara Flatpak
flatpak info org.telegram.desktopY para actualizar:
flatpak update org.telegram.desktopPara Snap
Puedes revisar:
snap info telegram-desktopy actualizar:
sudo snap refresh telegram-desktopEn Windows y macOS también conviene actualizar inmediatamente
La vulnerabilidad fue demostrada técnicamente sobre Windows.
El código vulnerable forma parte de Telegram Desktop y el CVE se refiere al producto anterior a 7.2.9.
Por prudencia, los usuarios de:
- Windows.
- macOS.
- Linux.
deben mantener Telegram Desktop actualizado.
La demostración completa fue confirmada principalmente en Windows
Este matiz es importante.
El investigador confirmó la cadena de ataque sobre una instalación Windows de Telegram Desktop.
Algunos elementos, como las rutas utilizadas para localizar automáticamente archivos, cambian entre sistemas operativos.
Por eso no debe afirmarse que la misma PoC funciona sin cambios en cualquier plataforma.
Pero la solución oficial fue aplicada al código común de Telegram Desktop.
No hay evidencia pública confirmada de explotación masiva
A la fecha de esta publicación existen:
- Detalles técnicos.
- CVE asignado.
- Prueba de concepto pública.
- Herramientas de investigación disponibles.
Pero las fuentes revisadas no confirman que exista actualmente una campaña masiva explotando CVE-2026-107181 contra usuarios de Telegram.
La diferencia es importante:
PoC pública ≠ explotación masiva confirmada
Sin embargo, una PoC disponible reduce la barrera para que terceros estudien y reproduzcan la vulnerabilidad.
Por eso actualizar sigue siendo prioritario.
Qué deberías hacer ahora mismo
La acción principal es sencilla:
- Actualizar Telegram Desktop.
- Utilizar versión 7.2.9 o posterior.
- Preferiblemente instalar la versión más reciente disponible.
- Configurar un código de acceso local.
- Revisar las sesiones activas.
- Limitar quién puede agregarte a grupos.
- Revisar la descarga automática de archivos.
Configura un código local de Telegram
Este control es especialmente recomendable.
En Telegram Desktop busca las opciones de:
Settings | v Privacy and Security | v Local Passcode
El nombre exacto puede cambiar según idioma o versión.
Utiliza un código fuerte y diferente de contraseñas triviales.
No uses:
1234 0000 1111 fecha de nacimiento
El código local no sustituye la actualización
Esto debe quedar completamente claro.
Un código local puede proteger la reutilización directa de los datos de sesión robados.
Pero:
no corrige CVE-2026-107181.
El orden correcto es:
1. ACTUALIZAR 2. activar código local 3. revisar sesiones 4. endurecer privacidad
Revisa las sesiones activas
Dentro de Telegram:
Settings | v Privacy and Security | v Active Sessions / Devices
Comprueba:
- Dispositivo.
- Ubicación aproximada.
- Última actividad.
Si encuentras algo que no reconoces, finaliza esa sesión.
Si sospechas compromiso, termina las demás sesiones
Telegram permite cerrar las sesiones activas en otros dispositivos.
Ante una sospecha razonable de robo:
- Actualiza Telegram.
- Finaliza sesiones desconocidas.
- Cambia las credenciales relevantes.
- Activa o revisa la verificación en dos pasos.
- Configura un código local.
- Comprueba actividad reciente.
Activa la verificación en dos pasos
Telegram permite añadir una contraseña adicional al proceso de inicio de sesión.
Esto protege frente a distintos escenarios de robo de códigos SMS o de autenticación.
Sin embargo, existe un matiz.
La autenticación de dos pasos no necesariamente protege una sesión que ya fue robada y reutilizada.
Por eso:
2FA + código local + cliente actualizado
proporcionan capas diferentes de defensa.
Limita quién puede agregarte a grupos
La demostración realizada por el investigador utilizaba un grupo o supergrupo como parte del flujo.
Por eso puede ser útil revisar:
Settings | Privacy and Security | Groups / Invites
y limitar quién puede incorporarte a grupos.
Por ejemplo:
My Contactscuando esa configuración sea apropiada para tu uso.
Revisa la descarga automática de archivos
Otra mitigación interesante es reducir descargas automáticas procedentes de grupos desconocidos.
El investigador recomienda considerar una configuración donde Telegram pregunte antes de almacenar determinados archivos.
La idea es impedir:
Grupo desconocido
|
v
archivo recibido
|
v
guardado automático
sin intervención del usuario.
Pero nuevamente: la solución real es actualizar
Las configuraciones adicionales reducen el riesgo.
No sustituyen el parche.
La única solución que elimina la vulnerabilidad conocida es ejecutar:
Telegram Desktop 7.2.9+¿Debo dejar de utilizar Telegram Desktop?
No existe razón técnica para abandonar Telegram Desktop únicamente por CVE-2026-107181 si el cliente está actualizado.
Las vulnerabilidades aparecen en prácticamente cualquier software suficientemente complejo.
La pregunta importante es:
- ¿Existe una corrección?
- ¿Está instalada?
- ¿El proveedor reaccionó?
En este caso, la vulnerabilidad fue corregida antes de que se publicara masivamente la información técnica.
El problema demuestra algo más amplio sobre las aplicaciones de escritorio
Muchas personas piensan en una aplicación de mensajería como una interfaz aislada.
Pero un cliente de escritorio interactúa con:
- Filesystem.
- Navegador.
- Protocol handlers.
- Sockets.
- Portapapeles.
- Sistema operativo.
- Descargas.
Cada una de esas integraciones crea una frontera de seguridad.
Un fallo local puede convertirse en remoto
La función interpret: por sí misma estaba pensada para un escenario local.
Si un atacante ya pudiera ejecutar comandos en la computadora, leer archivos mediante esa función aportaría poco.
El problema apareció cuando otra vulnerabilidad permitió alcanzarla desde una entrada externa.
Función local
aparentemente segura
|
+
entrada externa vulnerable
|
v
ATAQUE REMOTO
Ésta es una de las grandes lecciones del incidente.
Las cadenas de vulnerabilidades son cada vez más importantes
No todos los ataques modernos dependen de una única vulnerabilidad espectacular.
Muchas veces encontramos:
fallo pequeño A
+
fallo pequeño B
+
comportamiento C
=
compromiso grave
CVE-2026-107181 es un excelente ejemplo.
La inyección IPC necesitaba una función útil.
La función interna necesitaba una forma de ser alcanzada remotamente.
La descarga automática ayudaba a preparar el entorno.
Y la ausencia de código local permitía convertir los archivos robados en una sesión utilizable.
No todos los archivos accesibles por una aplicación deberían considerarse inofensivos
Otro aprendizaje importante es el valor de archivos aparentemente secundarios.
Un atacante no necesita encontrar:
password.txtpara comprometer una cuenta.
Puede buscar:
- Cookies.
- Tokens.
- Claves de sesión.
- Archivos de configuración.
- Claves privadas.
Estos artefactos pueden ser equivalentes a una contraseña ya utilizada correctamente.
Una sesión autenticada es una credencial
Esta regla no aplica únicamente a Telegram.
También afecta a:
- Navegadores.
- Slack.
- Discord.
- Clientes cloud.
- Herramientas de desarrollo.
Por eso los directorios de datos de aplicaciones deberían tratarse como información sensible.
Linux tampoco vuelve mágicamente seguro un cliente vulnerable
Los usuarios Linux suelen disponer de mecanismos adicionales de aislamiento mediante:
- Flatpak.
- AppArmor.
- SELinux.
- Permisos Unix.
Estos mecanismos pueden limitar qué archivos puede leer una aplicación.
Pero no sustituyen la actualización.
Si Telegram tiene permiso legítimo para acceder a determinada información del usuario, una vulnerabilidad dentro de Telegram puede aprovechar precisamente ese permiso.
Sandboxing puede reducir el impacto
En general, ejecutar aplicaciones con acceso limitado al sistema puede aportar defensa en profundidad.
Una aplicación que únicamente puede acceder a:
Downloads Pictures su propio directorio
ofrece menos superficie que una aplicación con acceso completo a:
/home/usuario/Pero la configuración concreta depende del paquete utilizado y de los permisos concedidos.
Las empresas deberían inventariar versiones de Telegram Desktop
En organizaciones donde Telegram esté permitido para comunicación laboral, conviene verificar:
| Control | Estado |
|---|---|
| Telegram instalado | Sí / No |
| Versión | 7.2.9 o superior |
| Actualización automática | Activada / No |
| Passcode local | Configurado / No |
| Descarga automática | Revisada |
| Sesiones activas | Auditadas |
Las versiones antiguas deberían bloquearse
Una política corporativa puede establecer una versión mínima:
Telegram Desktop >= 7.2.9y preferiblemente exigir siempre la última versión estable autorizada.
Esto evita que usuarios mantengan durante meses versiones antiguas simplemente porque:
“todavía funcionan”.
Las aplicaciones de mensajería también forman parte de la superficie de ataque
Las organizaciones suelen vigilar:
- Navegadores.
- VPN.
- Office.
- Java.
- Sistemas operativos.
pero pueden prestar menos atención a:
- Telegram.
- Slack.
- Discord.
- Clientes de videoconferencia.
Sin embargo, estas aplicaciones:
reciben archivos + abren enlaces + almacenan sesiones + interactúan con Internet
y por tanto son objetivos atractivos.
Checklist de seguridad para usuarios de Telegram Desktop
- Actualizar a Telegram Desktop 7.2.9 o superior.
- Preferiblemente utilizar la última versión disponible.
- Activar un código de acceso local fuerte.
- Activar verificación en dos pasos.
- Revisar dispositivos y sesiones activas.
- Cerrar sesiones desconocidas.
- Limitar quién puede agregarte a grupos.
- Revisar las opciones de descarga automática.
- No abrir enlaces sospechosos de grupos desconocidos.
- Leer las confirmaciones del navegador antes de abrir aplicaciones externas.
- Mantener el sistema operativo actualizado.
- En empresas, aplicar una versión mínima obligatoria.
¿Qué hacer si utilizaste una versión vulnerable?
No significa automáticamente que tu cuenta haya sido comprometida.
Ejecutar Telegram Desktop 7.2.8 o anterior simplemente indica que existía la vulnerabilidad.
La acción razonable es:
Actualizar | v revisar sesiones | v activar passcode | v revisar actividad
Si no existe actividad sospechosa, no debe asumirse automáticamente un compromiso.
¿Y si hiciste clic en un enlace extraño?
Si utilizabas una versión vulnerable y recuerdas haber interactuado con enlaces sospechosos, especialmente procedentes de grupos desconocidos, aumenta la prudencia.
Conviene:
- Actualizar inmediatamente.
- Finalizar sesiones desconocidas.
- Revisar tus dispositivos autorizados.
- Activar o cambiar la contraseña de verificación en dos pasos.
- Configurar passcode local.
- Revisar archivos y credenciales especialmente sensibles si sospechas exfiltración.
Un archivo robado puede comprometer también otros servicios
El impacto potencial no termina necesariamente en Telegram.
Si un atacante consigue acceder a un archivo como:
clave SSH token cloud archivo de configuración credencial API
el siguiente paso puede ser otro sistema.
Telegram vulnerable
|
v
archivo sensible
|
v
otra credencial
|
v
otro servicio
Por eso una vulnerabilidad de lectura arbitraria de archivos se considera especialmente peligrosa.
Puede leer también | Las mejores herramientas de código abierto para proteger su servidor Linux
La vulnerabilidad no rompe el cifrado de Telegram
Este punto debe quedar claro.
CVE-2026-107181 no demuestra que un atacante haya:
- Roto MTProto.
- Descifrado servidores Telegram.
- Interceptado criptográficamente todos los chats.
La vulnerabilidad estaba en:
Telegram Desktop ejecutándose en la computadora del usuario.
Es un fallo del cliente, no una ruptura general del protocolo criptográfico de Telegram.
Atacar el endpoint puede ser más sencillo que romper la criptografía
Una aplicación puede utilizar cifrado extremadamente sólido.
Pero en algún momento el usuario necesita ver el contenido.
Por tanto:
mensaje cifrado
|
v
cliente
|
v
mensaje legible
Si el cliente o el dispositivo están comprometidos, el atacante puede evitar completamente la necesidad de romper el cifrado matemático.
Este principio es válido para prácticamente cualquier aplicación de mensajería.
El incidente demuestra la importancia de actualizar aplicaciones, no solo Linux o Windows
Muchos usuarios ejecutan:
apt upgradeo Windows Update y consideran que todo está protegido.
Pero también necesitamos mantener actualizados:
- Navegadores.
- Clientes VPN.
- Aplicaciones de mensajería.
- Herramientas de desarrollo.
- Suites ofimáticas.
Una aplicación abandonada en una versión antigua puede convertirse en la puerta de entrada aunque el sistema operativo esté actualizado.
Recomendamos
- Herramientas esenciales para proteger tu Sistema Operativo Linux de Hackers
- Las mejores herramientas de código abierto para proteger su servidor Linux
- 7 mitos comunes sobre ciberseguridad que debes dejar de creer
En resumen
CVE-2026-107181 es una vulnerabilidad de severidad alta que afecta a Telegram Desktop anterior a la versión 7.2.9.
El fallo se encuentra en la comunicación IPC utilizada por Telegram cuando una segunda instancia transmite enlaces hacia la aplicación que ya está abierta.
Un separador no escapado correctamente permitía introducir instrucciones adicionales.
La cadena podía alcanzar una antigua función interna denominada interpret:, capaz de leer archivos locales y enviarlos sin solicitar una confirmación adecuada.
El investigador consiguió utilizar esa capacidad para extraer datos de sesión de Telegram y reconstruir el acceso a la cuenta cuando la víctima no tenía configurado un código local.
La vulnerabilidad fue corregida en Telegram Desktop 7.2.9, publicado el 17 de septiembre de 2026.
Aunque ya existe una prueba de concepto pública, no existe actualmente confirmación pública de una campaña masiva de explotación activa asociada a este fallo.
Conclusión editorial
CVE-2026-107181 resulta especialmente interesante porque demuestra que no siempre se necesita romper un protocolo criptográfico para secuestrar una cuenta.
Telegram puede proteger las comunicaciones mediante criptografía.
Pero la sesión finalmente vive dentro de una aplicación instalada en una computadora real.
Y esa aplicación interactúa con enlaces, archivos, procesos y el sistema operativo.
El ataque encontró precisamente una grieta entre esas piezas.
Un carácter que no se escapaba correctamente parecía un error pequeño.
Una antigua función interna de publicación parecía una característica inocente.
La descarga automática era una comodidad para el usuario.
Y la ausencia de passcode local era simplemente la configuración predeterminada.
Por separado, ninguna de estas condiciones parecía equivalente a perder una cuenta.
Juntas construyeron una cadena capaz de llegar desde un clic hasta los archivos que identificaban una sesión de Telegram.
Ésa es quizá la mayor enseñanza de esta vulnerabilidad.
La seguridad moderna no consiste únicamente en buscar un gran fallo crítico. Muchas veces consiste en comprender cómo varios comportamientos aparentemente pequeños pueden combinarse hasta producir un compromiso completo.
La buena noticia es que la solución ya existe.
Telegram eliminó la función interna utilizada en la cadena, corrigió la serialización IPC y añadió controles adicionales.
Por tanto, para el usuario la respuesta no necesita ser complicada:
actualizar Telegram Desktop, configurar un código local, revisar las sesiones activas y mantener bajo control los enlaces y descargas procedentes de grupos desconocidos.
La peor opción sería continuar utilizando una versión antigua simplemente porque todavía abre los chats correctamente.
En seguridad, que una aplicación funcione no significa que siga siendo segura.
Fuentes: VulnCheck — CVE-2026-107181, BeakSec — Telegram Desktop one-click account takeover, Telegram Desktop — versión 7.2.9 y Telegram Desktop — repositorio oficial.
