Telegram Desktop 安全漏洞警示：一次点击就可能泄露任意文件

最近，Telegram Desktop 客户端被曝出一个严重安全漏洞。如果你还在使用 7.2.9 以下的版本，请尽快更新。这个漏洞可能让攻击者通过一个简单的链接点击，就静默窃取你电脑上的任意文件。

漏洞是怎么一回事？

漏洞编号为 CVE-2026-107181，影响所有低于 7.2.9 版本的 Telegram Desktop。问题出在客户端对 tg:// 协议链接的处理上。由于没有正确转义分隔符 ;，链接中的参数会被误认为独立的 IPC 命令。攻击者可以利用 interpret: 处理程序，构造一个特制链接。当你点击后，客户端会在你不知情、也没有任何确认提示的情况下，把你系统中的文件发送到攻击者指定的频道。

风险不止于账号被盗

很多人可能以为这只是导致 Telegram 账号被劫持，但实际风险远不止如此。攻击者可以窃取你电脑上任何你有权限访问的文件，包括文档、浏览器保存的登录会话、SSH 密钥、系统配置文件，甚至加密货币钱包。换句话说，一次不小心的点击，就可能让大量敏感数据外泄。

如何保护自己？

首先，立即更新你的 Telegram Desktop 到 7.2.9 或更高版本。如果你用的是非官方客户端，在相关修复发布之前，建议先换回官方客户端。

对于暂时无法更新的用户，有几个临时措施可以降低风险：

• 点击任何链接时，仔细查看弹出的确认窗口。如果链接结构看起来异常，比如以 tg:// 开头，就不要继续访问。
• 在客户端设置中启用本地锁定码（Passcode Lock）。这样 tdata 目录中的会话文件会被加密，即使文件泄露，攻击者也难以直接接管账号。

安全更新从来都不是小事。如果你身边还有人用着旧版 Telegram Desktop，记得提醒他们尽快升级。