Telegram Desktop Açığı: CVE-2026-107181 ile Hesap Ele Geçirme Riski

Telegram Desktop’ta keşfedilen CVE-2026-107181 güvenlik açığı, kullanıcıların özel olarak hazırlanmış bir bağlantıya tıklamasıyla yerel dosyalarının saldırganlara aktarılmasına ve uygun koşullarda Telegram oturumlarının ele geçirilmesine yol açabiliyordu.

Açığın Ayrıntıları

Güvenlik araştırmacısı Emiliano Versini, Telegram Desktop’ın süreçler arası iletişim (IPC) mekanizmasında tespit ettiği CVE-2026-107181 numaralı güvenlik açığının teknik ayrıntılarını yayımladı. Araştırmaya göre saldırganlar, özel olarak hazırlanmış bir bağlantı aracılığıyla uygulamanın komut işleme mantığını manipüle ederek kurbanın bilgisayarındaki dosyaları okuyabiliyor ve bu dosyaları kontrol ettikleri bir Telegram sohbetine gönderebiliyordu.

Açık, özellikle yerel Telegram oturum dosyalarının ele geçirilmesi durumunda hesap güvenliği açısından ciddi risk oluşturuyordu. Araştırmacının teknik analizinde, gerekli dosyaların elde edilmesinin kurbanın mevcut Telegram oturumunun yeniden kullanılmasına ve hesabın ele geçirilmesine kadar ilerleyebildiği gösterildi.

Saldırı Nasıl Gerçekleşiyordu?

Araştırmada iki ayrı yazılım kusurunun bir araya gelmesinin saldırı zincirini oluşturduğu belirtildi. İlk kusur, Telegram Desktop’ın çalışan bir örneği ile yeni başlatılan örneği arasında bağlantı aktarımı için kullanılan IPC mekanizmasında bulunuyordu. Uygulama, komutları birbirinden ayırmak için noktalı virgül (;) kullanmasına rağmen bu karakteri aktarılan veriler içerisinde uygun şekilde kaçışlamıyordu. Böylece özel olarak hazırlanmış bir bağlantı, tek bir komut olarak işlenmesi gerekirken birden fazla dahili komuta ayrılabiliyordu.

İkinci kusur ise uygulamanın interpret: adlı dahili URI şemasıyla ilişkiliydi. Telegram’ın sürüm yayımlama süreçlerinde kullanılan bu mekanizma, bir talimat dosyasında belirtilen yerel dosyayı okuyup hedeflenen Telegram kanalına gönderebiliyordu. Araştırmacının analizine göre işlev, işlemi kimin talep ettiğini doğrulayan yeterli bir yetkilendirme kontrolü veya kullanıcıdan onay isteyen bir mekanizma içermiyordu.

Bu iki kusur birleştirildiğinde, saldırganın bağlantı üzerinden uygulamanın dahili dosya gönderme işlevine ulaşması mümkün hâle geliyordu. Böylece saldırı, yalnızca uygulamanın kapatılması gibi sınırlı bir işlemden çıkarak yerel dosyaların dışarı aktarılmasına kadar ilerleyebiliyordu.

Telegram Oturum Dosyaları Neden Önemli?

Telegram Desktop, kullanıcı oturumuna ait verileri yerel bilgisayarda saklıyor. Bu dosyalar, uygulamanın mevcut oturumunu sürdürmesi için kullanılan yetkilendirme verilerini de içeriyor.

Versini’nin analizine göre saldırgan, gerekli yerel dosyaları ve oturum verilerini elde ettiğinde mevcut oturumu başka bir Telegram Desktop kurulumunda yeniden kullanabilecek bir konuma gelebiliyordu. Bunun gerçekleşmesi, yerel parola ayarları ve oturum verilerinin doğru şekilde yeniden oluşturulabilmesi gibi koşullara bağlıydı.

Risk yalnızca Telegram verileriyle de sınırlı değildi. Açığın temel etkisi yerel dosyaların okunup dışarı aktarılabilmesi olduğundan, saldırı koşullarına bağlı olarak bilgisayarda bulunan kimlik bilgileri, SSH anahtarları, yapılandırma dosyaları veya API belirteçleri gibi hassas veriler de risk altında olabilirdi.

Etkilenen Sürümler ve CVSS Puanı

Araştırmacının teknik raporuna göre açık, Telegram Desktop’ın 7.2.8 ve önceki sürümlerini etkiliyordu. Saldırı zincirinin Windows üzerinde Telegram Desktop 6.9.3 sürümünde doğrulandığı belirtildi.

CVE: CVE-2026-107181
Etkilenen sürümler: Telegram Desktop 7.2.8 ve öncesi
Giderilen sürüm: Telegram Desktop 7.2.9
CVSS 3.1: 8.1 – Yüksek
CVSS 4.0: 8.6 – Yüksek
Gerekli kullanıcı etkileşimi: Evet; kurbanın özel olarak hazırlanmış bağlantıyı açması gerekiyor.

CVSS 3.1 ve CVSS 4.0 puanları, farklı değerlendirme sürümlerine ait olduğundan birbirinden ayrı belirtilmeli. Araştırmacının raporu, saldırının Windows üzerinde doğrulandığını belirtiyor; bu nedenle diğer masaüstü işletim sistemlerinde aynı saldırı zincirinin çalıştığı, yalnızca bu test sonucuna dayanarak kesinleştirilmemeli.

Güvenlik Açığı Nasıl Giderildi?

Telegram Desktop projesinde güvenlik düzeltmesi, db3405699f commit’iyle 16 Eylül 2026’da gerçekleştirildi. 7.2.9 sürümü ise 17 Eylül 2026’da yayımlandı.

Düzeltme kapsamında dahili interpret: mekanizması kaldırıldı. Ayrıca IPC üzerinden aktarılan verilerde, komut ayırıcı karakterlerin yeni komutlar olarak yorumlanmasını önlemek amacıyla kaçışlama mekanizması eklendi. Aynı bağlantı üzerinden gelen komutların işlenmesine ilişkin ek kontroller de uygulandı.

Araştırmacının zaman çizelgesine göre açık, 25 Haziran 2026’da Zero Day Initiative (ZDI) üzerinden bildirildi. Düzeltmenin yayımlanmasının ardından teknik ayrıntılar kamuoyuyla paylaşıldı.

Kullanıcılar Ne Yapmalı?

Kullanıcıların öncelikle Telegram Desktop uygulamalarını 7.2.9 veya daha yeni bir sürüme güncellemeleri öneriliyor. Güvenlik açığına yönelik düzeltmeyi içeren bu sürüm, söz konusu saldırı zincirine karşı alınması gereken temel önlem olarak öne çıkıyor.

Güncellemenin yanı sıra kullanıcıların şu önlemleri de değerlendirmesi gerekiyor:

Otomatik dosya indirme ayarlarını gözden geçirin. Gelen dosyaların otomatik olarak indirilmesini sınırlandırmak, beklenmedik dosyaların cihaza kaydedilmesi riskini azaltabilir.
Grup davetlerini sınırlandırın. Gizlilik ayarlarından sizi gruplara kimlerin ekleyebileceğini kontrol edin ve mümkünse bu yetkiyi kişilerinizle sınırlandırın.
Yerel parola korumasını etkinleştirin. Telegram Desktop’ın yerel verilerini korumak için kullanılan parola özelliği, ele geçirilen oturum dosyalarının kullanılmasını zorlaştırabilir. Ancak bu önlem, dosyaların çalınmasını tek başına engellemez.
Şüpheli bağlantılara karşı dikkatli olun. Özellikle tarayıcıdan Telegram Desktop’ı açan veya uygulamaya özel bağlantılar içeren beklenmedik mesajları açmadan önce kaynağını doğrulayın.

Bu önlemlerin yanında, uygulamayı güncel tutmak önem taşıyor. Bununla birlikte, otomatik indirme ve gizlilik ayarları ek koruma sağlayabilse de açığın temel nedenini ortadan kaldıran önlem, güvenlik düzeltmesini içeren sürüme geçiş yapmak.