Telegram桌面端高危漏洞已修復
安全研究者Emiliano Versini以beaksec名義披露Telegram Desktop高危漏洞，編號CVE-2026-107181。漏洞影響7.2.9之前的版本，研究者確認範圍覆蓋至7.2.8，並在Windows上的6.9.3復現。國家漏洞數據庫於10月7日收錄。
公開評級爲高危。CVSS 4.0爲8.6，CVSS 3.1爲8.1，向量顯示需要用戶交互，不需要預先權限。後果是本地文件可被讀出並傳到攻擊者控制的會話，其中包含tdata會話密鑰，賬戶可能被在其他設備恢復。可用性影響記爲無。
時間線顯示，研究者於6月25日通過ZDI報送。Telegram在9月16日獨立修復，提交爲db3405699f，次日發佈7.2.9。ZDI於9月30日以已經修復結案，披露權回到研究者。技術文章於10月3日公開，CVE於10月7日分配。修復版本移除了相關本地發送處理，並給進程間通信的分隔符加了轉義。
加密貨幣項目方、社羣管理員和交易羣大量把Telegram當作戰時通道。助記詞、私鑰截圖和成交記錄如果留在桌面端所在電腦，會和會話文件處在同一臺機器上。本地密碼不能阻止文件被讀出，只能讓被拿走的會話更難直接啓用。研究者給出的唯一關閉路徑是升級到7.2.9或更高版本。
有報道稱，桌面端在10月9日另發7.3，更新說明只有Money一詞。7.2.9仍是公開記錄裏的修復起點，更早版本不在不受影響名單內。漏洞信用記在Emiliano Versini名下，協調方爲VulnCheck。
這不是交易所買賣，而是會話控制權的轉移。買方是拿到未升級用戶會話的攻擊者，賣方是仍停在7.2.8及更早版本的桌面端用戶。事件驅動來自10月3日的公開分析和10月7日的CVE入庫，不是某個代幣的供需變化。受益方是已完成升級、並把密鑰移出聊天電腦的團隊；承壓方是用同一臺電腦保存會話、截圖和羣管理權限的項目方，因爲一次點擊就可能把賬戶入口交出去。
桌面端與手機端不是同一條更新鏈。只更新手機，不能補上這臺電腦裏的舊版本。羣裏出現的外部鏈接在升級完成前不應打開。
來源：公開信息
ABAB AI 解讀
Telegram Desktop的安全賬本一直按客戶端補丁走，不按服務器公告走。2023年前後，桌面端曾因本地數據存儲和會話文件位置被安全團隊反覆點名，項目方後來把本地密碼做成可選項，而不是默認鎖。這次編號CVE-2026-107181的路徑相同：6月25日經ZDI報送，9月16日廠商獨立提交db3405699f，9月17日發7.2.9，公開分析和CVE都落在修復之後。Emiliano Versini拿到的是發現信用，不是尚未修補的窗口。
加密社羣把運營資金的入口放在聊天軟件上。項目方用Telegram羣發公告、客服回覆和收款確認，管理員賬號本身就是金庫鑰匙的分發點。助記詞截圖、私鑰導出和成交記錄若與tdata會話放在同一臺電腦，客戶端漏洞就會把社交通道變成資產通道。本地密碼只降低被盜會話的可用性，不改變文件已被讀出的事實。
可對照的是2020年Twitter員工工具被濫用後，名人賬戶被用來發布釣魚；以及後來針對Discord、Slack管理員的會話竊取。Telegram在幣圈處在控制階段：它不是託管方，卻掌握着項目公告、客服和管理員的實際入口。版本停在7.2.8的桌面端，等於把這個入口留在已公開的缺陷上。
本質上是產業鏈重構裏的信任錨位移。交易、社羣和客服曾把賬戶登錄態當成內部工具，補丁公開後，登錄態變成可轉移資產。機制是更新時差：修復提交在9月16日，CVE在10月7日才入庫，中間三週足夠讓未升級的管理號繼續值守。誰先升級，誰保住羣入口；誰把密鑰和會話放在一起，誰把兩套權限一次性交出去。
ABAB News · 認知定律
補丁先落地，公告後抵達，窗口在中間。
會話是鑰匙，截圖是備份，同機存放等於合併。
聊天工具不託管資產，卻能託管資產入口。