Uma vulnerabilidade no Telegram Desktop permitia que arquivos exportados pelo aplicativo fossem usados para roubar conversas e outras informações armazenadas no histórico. A falha afetava relatórios salvos no formato HTML e já foi corrigida pela plataforma.
O problema foi identificado pelos pesquisadores Denis Rostilov e Aleksander Rostilov, da empresa de segurança digital ExPatch. Segundo a análise, uma mensagem aparentemente normal podia carregar comandos maliciosos escondidos em botões criados por robôs do Telegram.
O código permanecia inativo dentro da conversa e só era executado quando o usuário exportava o histórico e abria o arquivo HTML no navegador. Nesse momento, os comandos podiam acessar dados exibidos no documento sem exigir um segundo clique.
Entre as informações que poderiam ser coletadas estavam nomes dos participantes, horários, conteúdos das mensagens e até caminhos de pastas do computador. Nos testes dos pesquisadores, o arquivo também podia alterar a página exibida e mostrar uma falsa tela de verificação com aparência semelhante à do Telegram, abrindo espaço para tentativas de captura de senhas e e-mails.
Arquivos antigos ainda podem apresentar risco
De acordo com a ExPatch, a vulnerabilidade entrou na versão estável do Telegram Desktop em março de 2024 e permaneceu no aplicativo por mais de dois anos. A correção foi concluída em julho de 2026 e incluída na versão 7.0.1 do programa para computadores.
A falha recebeu pontuação 8,2 em uma escala técnica utilizada para medir a gravidade de vulnerabilidades, classificação considerada alta.
Apesar da correção, a atualização do aplicativo não altera arquivos HTML que tenham sido exportados antes da mudança. Por isso, documentos antigos contendo mensagens adulteradas ainda podem executar códigos maliciosos quando abertos normalmente em navegadores.
O Telegram ofereceu US$ 500 aos pesquisadores pelo relato da falha. Eles recusaram o pagamento e pediram que o valor fosse destinado a uma instituição de caridade.
A empresa também informou aos pesquisadores que não autorizaria a divulgação pública da vulnerabilidade, mesmo depois da correção, sob o argumento de que detalhes técnicos poderiam ser utilizados por criminosos em ataques semelhantes. A equipe da ExPatch decidiu publicar a análise após a liberação da atualização oficial.
A recomendação para usuários do Telegram Desktop é manter o aplicativo atualizado e ter cautela ao abrir arquivos antigos exportados em HTML. Em ambientes corporativos, os pesquisadores orientam a criação de novos arquivos para substituir históricos gerados antes da correção.
Fonte:Acritica