Telegram Desktopのリンクがファイル流出に。修正済み脆弱性が教えるアプリの境界

チャットに届いたリンクを一度開くだけで、パソコン内のファイルが送信される。Telegram Desktopで見つかった脆弱性は、そんな経路を成立させていた。発見者のBeakSecが10月に公開した検証によると、問題はアプリ同士がリンクを引き継ぐ仕組みと、内部用のファイル送信機能の組み合わせにあった。Telegramはすでにバージョン7.2.9で修正している。

このニュースで大切なのは、Telegramの暗号化が破られたという話ではないことだ。端末上のアプリが持つ権限を、外部から届いたリンクが意図せず使えてしまった。日常的に使うデスクトップアプリの「入口」の設計が、個人情報を守る上でいかに重要かを示す事例だ。

リンクが内部命令に変わるまで

Telegram Desktopがすでに起動しているとき、外部から開かれたリンクは新しいプロセスから起動中のアプリへ渡される。発見者によると、その受け渡しでは命令の区切りに使う文字を、リンク内のデータとして適切に扱えていなかった。このため、細工したリンクの一部が別の内部命令として解釈された。

さらに、開発・公開作業のために使われていた内部機能が、指定したファイルを読み取り、チャットへ送ることを許していた。二つの欠陥をつなぐと、攻撃者が用意したファイルとリンクを経由して、端末内のファイルを攻撃者側のグループに送らせることができたという。研究者はWindows版で再現を確認し、ローカルのログイン情報を利用したアカウント乗っ取りも実証した。すべての環境で同じ手順が成立すると確認されたわけではない。

攻撃には条件がある。対象者がリンクを開く必要があり、研究者の実証では、指示用ファイルの自動ダウンロードや、ブラウザからTelegramを開く動作も利用した。ブラウザや設定によっては、アプリを開く確認が表示される。それでも、普段のメッセージ操作の延長で起こり得る点は見逃せない。

修正は済んでいる。確認したいのはバージョン

発見者によると、影響を受けるのはTelegram Desktop 7.2.8以前で、7.2.9で修正された。Telegramの公開コードでも、問題の内部機能の削除と、プロセス間でリンクを渡す際の区切り文字の処理変更を確認できる。7.2.9は9月に公開されており、今回の詳細な分析の公開より先に対処されていた。

利用者がまず行うべきことは、Telegram Desktopを最新バージョンに更新し、実際のバージョン番号を確認することだ。発見者は、ファイルの保存先を毎回確認する設定、グループに追加できる相手の制限、ローカルのパスコード設定も被害を抑える手段として挙げている。ただし、これらは更新の代わりにはならない。

プライバシーは「暗号化の外側」でも決まる

メッセージアプリの安全性は、通信が暗号化されているかだけでは測れない。受信したファイルの自動保存、ブラウザからアプリを開く連携、アプリ内部の管理機能、端末上のセッション保管。それぞれの境界で、外部の入力がどこまで進めるかが問われる。

日本でも仕事やコミュニティの連絡にデスクトップ版メッセージアプリを使う人は多い。今回の事例は、リンクを慎重に扱うという個人の注意に加え、アプリの更新を止めない運用と、不要な内部機能を外部入力から切り離す設計の重要性を映している。修正済みの脆弱性だからこそ、まずは手元のバージョンを確かめたい。

---

出典：BeakSecによる技術分析（2026年10月3日公開、7日更新）、Telegram Desktopの修正コミット、Telegram Desktop 7.2.9のリリース。内容は2026年10月11日時点の公開情報に基づく。