Telegram Desktop a corrigé en silence une faille de vol de compte

La faille porte depuis le 7 octobre le numéro CVE-2026-107181 (le CVE est le catalogue public qui numérote les failles connues). Sa gravité est notée 8,1 sur 10 selon la méthode de calcul CVSS 3.1, et 8,6 selon sa version 4.0, soit le niveau « élevé » dans les deux cas, d’après la fiche CVE publiée par VulnCheck, l’entreprise qui a attribué le numéro ; son avis n’affiche que le score 4.0.

Un lien transmis à l’application déjà ouverte

Le défaut tient à une mécanique ordinaire. Quand on clique sur un lien tg:// (le format des liens propres à Telegram), le système lance une nouvelle copie de l’application. Celle-ci constate qu’une autre copie tourne déjà et lui passe le lien par un canal de communication interne, avant de se fermer : c’est le fonctionnement dit « à instance unique », qui évite d’ouvrir dix fenêtres Telegram.

Sur ce canal, les messages sont séparés par un point-virgule. Or, explique le chercheur, Telegram Desktop ne neutralisait pas les points-virgules contenus dans le lien lui-même. Un lien fabriqué pour en contenir était donc découpé en plusieurs commandes à son arrivée, dont une que l’attaquant avait glissée.

Cette commande pouvait viser un mécanisme interne et ancien, désigné par le préfixe interpret:, qui permettait de lire un fichier sur le disque et de l’envoyer dans une conversation. Selon le billet, la fonction « n’effectue aucun contrôle d’autorisation » et « aucune fenêtre de confirmation ne s’affiche ». Les fichiers à envoyer et leur destination étaient décrits dans de petits fichiers texte que l’attaquant avait déposés au préalable dans le groupe.

Le butin visé : les fichiers de session rangés dans le dossier tdata de l’application, qui contiennent la clé permettant d’utiliser le compte. Le chercheur la compare à un cookie de session sur un site web : la détenir suffit à « être ce compte ». Sans code de verrouillage local, absent par défaut, cette clé est protégée par un mot de passe vide et se déchiffre sans effort, écrit-il ; la session copiée est alors aussitôt utilisable par l’attaquant.

Des réglages par défaut qui ouvraient la porte

« Un clic » résume l’action demandée à la victime, pas tout le scénario. L’attaque décrite suppose que l’attaquant puisse ajouter sa cible à un groupe, ce que le chercheur conseille de réserver aux contacts. Elle s’appuie ensuite sur deux réglages d’origine, selon lui : le téléchargement automatique des fichiers reçus dans les groupes (jusqu’à 8 Mio), qui place les fichiers d’instructions sur le disque sans action de l’utilisateur, et l’absence de code local. Le billet précise aussi que, selon le navigateur et selon que l’on a déjà ouvert de tels liens, le système peut demander une confirmation avant de lancer Telegram.

Le chercheur a confirmé l’attaque sous Windows, sur la version 6.9.3. Il ne dit rien de macOS ni de Linux. La fiche CVE, elle, vise Telegram Desktop avant la 7.2.9 sans distinguer de système, et les distributions Linux Debian et Ubuntu la suivent pour leurs propres paquets (voir plus bas). Aucune des sources consultées ne fait état d’attaques réelles.

Près de trois mois entre le signalement et le correctif, aucune annonce

Le chercheur a signalé la faille le 25 juin 2026 par l’intermédiaire de la Zero Day Initiative (ZDI), un programme qui sert d’intermédiaire entre chercheurs et éditeurs de logiciels. Telegram l’a corrigée « indépendamment », écrit-il, le 16 septembre, par un commit (une modification enregistrée dans le code source public) signé john-preston et intitulé « Remove legacy interpret path helper » (« suppression de l’ancien assistant de chemin interpret »). La modification supprime le mécanisme interpret: et ajoute un encodage des caractères transmis entre les deux copies de l’application.

La version 7.2.9, sortie le lendemain, avait pour toute note de version « Fix some tlottie incorrect renderings », une simple correction d’affichage. « Le correctif est passé discrètement », résume beaksec : le commit porte un titre technique, et « aucun bulletin de sécurité ne l’a accompagné ». Les versions suivantes, 7.2.10 (27 septembre), 7.3.0 (9 octobre) et 7.3.1 (10 octobre), n’en disent pas davantage dans leurs notes.

Sous Linux, Debian encore vulnérable, Ubuntu sans verdict

Sur Linux, Telegram Desktop s’installe souvent depuis les dépôts de sa distribution, avec des paquets préparés par celle-ci, qui suivent leur propre calendrier. Au 11 octobre, le suivi de sécurité de Debian classe ainsi « vulnerable », sans version corrigée :

• le paquet de Debian 12 (bookworm, l’ancienne version stable), en version 4.6.5 ;
• celui des branches de développement (forky et sid), en version 5.7.2.

Debian 13 (trixie), la version stable actuelle, n’apparaît pas dans ce suivi : elle ne contient pas de paquet telegram-desktop. Le logiciel n’y est proposé que par les rétroportages (« backports »), un dépôt facultatif de paquets repris de la version en préparation et recompilés pour la version stable : le paquet de trixie-backports est en version 5.7.2, antérieure au correctif, et le suivi de sécurité ne le mentionne pas.

Un rapport de bogue a été ouvert le 8 octobre par un membre de l’équipe de sécurité de Debian, avec la gravité « grave ». Il était encore ouvert le 11 octobre.

Chez Ubuntu, la fiche de la faille indique « Needs evaluation » (à évaluer) pour le paquet des versions 22.04, 20.04 et 18.04. Les versions 24.04 et 26.04 ne contiennent pas de paquet telegram-desktop (« Not in release »).

La version distribuée par Telegram sur Flathub, le magasin d’applications multi-distributions de Linux, est en revanche corrigée : passée à la 7.2.9 le 23 septembre, elle est en 7.3 depuis le 10 octobre.

Les précautions en détail

• La version. Le numéro est à comparer à 7.2.9. Sous Linux, la version Flathub ou celle publiée par Telegram sur son dépôt GitHub contient le correctif, à la différence des paquets Debian.
• Les sessions. La mise à jour bouche le trou, elle ne referme pas une session dont la clé aurait déjà été copiée. La liste des appareils connectés se trouve dans Réglages > Appareils (ou Confidentialité et sécurité > Sessions actives), selon la FAQ de Telegram ; elle indique l’adresse IP de chacun, d’après le billet de Telegram qui l’a introduite en 2015. Une session fermée depuis cet écran est déconnectée côté serveur, d’après la documentation technique de Telegram. En cas de doute, fermer toutes les autres sessions.
• Le code local. Il « n’empêche pas le vol des fichiers », précise le chercheur, mais rend la session volée inutilisable ; il recommande de le choisir « comme un vrai mot de passe ».
• L’exposition. Le chercheur conseille aussi d’activer l’option qui demande où enregistrer chaque fichier, ce qui coupe le téléchargement automatique, et de réserver à ses contacts la possibilité de vous ajouter à des groupes.

Un correctif de sécurité présenté comme une retouche d’affichage

Au 11 octobre, Telegram n’a donné aucune explication : rien sur son blog ni sur sa chaîne d’annonces, dont les derniers messages datent d’août, rien dans les notes de version ni dans le dépôt de Telegram Desktop, où aucun ticket ne cite le numéro CVE. Le billet du chercheur ne mentionne ni échange avec l’entreprise ni récompense.

Ce silence a une conséquence pratique : sans bulletin, les personnes qui gèrent des postes de travail, ou qui empaquettent le logiciel pour une distribution Linux, n’avaient aucune raison de traiter la 7.2.9 comme une mise à jour urgente. L’enjeu n’est devenu public qu’avec le billet du chercheur, plus de deux semaines après la sortie du correctif. Deux questions restent ouvertes : pourquoi Telegram a livré une correction de sécurité sous l’étiquette d’une retouche d’affichage, et quand les utilisateurs de Debian recevront un paquet corrigé.

Les citations du chercheur et des documents techniques ont été traduites de l’anglais par la rédaction.