Telegram Desktop高風險漏洞曝光　香港用戶應更新至7.2.9或以上

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-12

Telegram Desktop 被揭發存在編號 CVE-2026-107181 的高風險漏洞。iThome 報道指出，受影響範圍為 7.2.8 及較早版本，Telegram 已於 9 月 17 日推出 7.2.9 修補。對以 Telegram 處理聯絡、社群或工作訊息的香港桌面版用戶而言，首要措施是確認電腦上的 app 已更新至 7.2.9 或以上。

這次風險的重點不只是 app 出現錯誤，而是漏洞有機會同時觸及電腦檔案與帳戶登入狀態。iThome 指出，研究人員已公開概念驗證程式；攻擊者可透過特製連結誘使用戶互動，繼而讀取本機檔案、取得登入工作階段資料。在未設定本機密碼的情況下，帳戶更可能被接管。不過，報道所述的是可能的攻擊路徑，並不等同每名舊版用戶已遭入侵。

漏洞為何令桌面版風險升高

iThome 報道將問題指向 Telegram Desktop 的程序間通訊（IPC）處理。程式需要讓不同部分互相傳遞指令，但處理用作分隔指令的字元時未夠妥善，便可能讓攻擊者插入額外指令。報道稱，這些指令可濫用內部功能，將讀取到的檔案傳送至攻擊者控制的聊天群組。漏洞獲評 CVSS 8.6 分，反映其潛在影響不宜只當作一般程式小問題。

從使用情境看，桌面版的危險性在於它通常可接觸用戶電腦上的工作文件、下載內容及正在使用中的登入資料。假如用戶把 Telegram 視作單純收發訊息工具，未必會把收到的連結與電腦檔案外洩聯想在一起；正因如此，社交工程很可能成為此類漏洞能否造成實際損害的關鍵環節。這是根據 iThome 所述攻擊條件作出的風險分析，並非已確認的攻擊規模。

報道亦提到，本機密碼設定會影響帳戶接管的後果。這項保護不能取代修補漏洞，因為已曝光的檔案及登入工作階段仍可能構成風險；但它可為未經授權存取帳戶增加一道門檻。這項保護在共用電腦或借用他人電腦登入時尤其有用。

先更新，再處理帳戶保護

第一步是檢查 Telegram Desktop 的版本，確認已更新至 7.2.9 或以上。仍在使用 7.2.8 或更早版本者，應立即透過 Telegram 的正式更新途徑升級，而非從訊息、群組貼文或不明網站下載所謂修補程式。由於攻擊情境本身涉及特製連結，將「更新」交由另一條陌生連結處理，反而可能帶來額外風險。

第二步是檢視帳戶的本機密碼保護是否已設定。iThome 指出，未設本機密碼時，漏洞有機會進一步導致帳戶接管；因此，用戶在完成更新後，應確認這項設定是否按自己的使用模式啟用。若一個帳戶同時用於私人對話、社群管理與工作聯絡，帳戶失守所造成的影響往往不限於個人訊息，亦可能波及聯絡人與所管理的群組。

第三步是收緊對連結的基本判斷。即使訊息來自熟悉聯絡人，也不應因內容急迫、聲稱提供檔案或要求登入而立即點擊；帳戶一旦遭他人控制，熟人帳戶同樣可以被用作轉發惡意內容。對可疑訊息，較穩妥的做法是經另一個已知渠道核實發件人意圖，避免在舊版桌面 app 內直接開啟來歷不明的連結。

對社群管理及工作溝通的提醒

Telegram 的群組與頻道使用模式，令單一帳戶的安全事件可能帶來較大的擴散面。若管理員帳戶被接管，攻擊者或可借其可信身分向群組成員發送訊息，增加惡意連結被點擊的機會；若登入工作階段資料外洩，用戶亦未必會即時察覺。這些是由 iThome 所披露的檔案與工作階段竊取風險延伸出的合理推論，實際影響仍取決於帳戶權限、用戶設定及攻擊是否成功。

企業或社群管理者可把這次事件視為一項清晰的端點更新提醒：盤點仍在使用的 Telegram Desktop 版本，優先更新長期開機、存有較多文件或由多人共用的電腦，同時提醒成員勿把不明連結當作正常工作流程的一部分。這並不需要重現公開 PoC 的技術細節；對一般用戶來說，迅速移除已知受影響版本，遠比研究攻擊步驟更有實際效益。

修補後仍要留意異常登入跡象

升級至 7.2.9 或以上，處理的是 iThome 報道所述的已知漏洞版本問題；它不能倒轉更新前可能已發生的資料存取或帳戶風險。因此，曾在舊版程式內點擊可疑連結的用戶，宜提高警覺，留意帳戶是否出現自己未曾進行的活動，並檢查重要對話、群組及帳戶保護設定有否異常變動。

下一步值得觀察的是，隨着概念驗證程式公開，舊版本的實際受攻擊情況會否增加，以及更多用戶會否完成更新。現階段可確定的資訊是：iThome 報道所指的修補版本為 7.2.9，受影響的是 7.2.8 及以前的 Telegram Desktop；香港桌面版用戶先完成版本確認與帳戶保護檢查，便能直接降低這次事件帶來的可避免風險。