Telegram a corrigé une faille de sécurité majeure en septembre 2026, mais n’a pas rendu publics les détails de cette vulnérabilité. Le 7 octobre 2026, un chercheur en cybersécurité connu sous le pseudonyme de BeakSec a publié la version finale d’une chaîne d’attaques ciblant Telegram Desktop, l’application de bureau du service de messagerie privée. D’un point de vue utilisateur, l’attaque était d’une simplicité trompeuse : une victime n’avait qu’à être ajoutée à un groupe de discussion par un inconnu, puis à cliquer sur un lien partagé dans la conversation. La faille, référencée sous le code CVE-2026-107181 et notée 8,6 sur 10 en termes de gravité, concernait toutes les versions de Telegram Desktop jusqu’à la 7.2.8, confirmée comme problématique sur les systèmes Windows. Cette vulnérabilité provenait d’une confusion entre les données et les commandes au sein de l’application. Lorsqu’un lien « tg:// » est ouvert depuis un navigateur web, Telegram Desktop envoie ce lien à l’application déjà en cours d’exécution via un canal de communication local entre processus. Ce lien est converti en une chaîne de caractères au format « OPEN:<url>; » — où « OPEN: » signale à Telegram d’ouvrir l’adresse suivante, et le point-virgule marque la fin de la commande. Le problème résidait dans le fait que Telegram ne protégeait pas correctement les points-virgules pouvant apparaître dans l’URL elle-même. Cela permettait à un attaquant d’inclure des points-virgules dans le lien. Le processus expéditeur les traitait comme des caractères normaux, mais l’application réceptrice les interprétait comme la fin d’une commande et le début d’une autre. Résultat : un simple clic sur un lien pouvait déclencher plusieurs commandes. L’une de ces commandes activait un outil interne de Telegram Desktop, initialement conçu pour publier des mises à jour de l’application. Cet outil suivait une liste d’instructions pour envoyer un fichier à une conversation. L’attaquant n’avait qu’à placer cette liste d’instructions dans un groupe de discussion auquel la victime appartenait, permettant à Telegram Desktop de sauvegarder automatiquement le fichier sur l’ordinateur de la victime. Lorsque la victime cliquait sur le lien, l’application envoyait les fichiers à l’attaquant, lui permettant de maintenir une connexion. Si la victime n’avait pas configuré de mot de passe sur son compte Telegram, l’attaquant pouvait ensuite accéder au compte depuis un autre ordinateur et en prendre le contrôle. La faille a été signalée à Telegram le 25 juin 2026 et corrigée le 16 septembre, avec la sortie de la version 7.2.9 le lendemain. Cependant, BeakSec a souligné que la note de mise à jour mentionnait uniquement un problème d’affichage et que la correction critique était décrite sous un titre anodin concernant la suppression d’un ancien utilitaire. Aucun avis de sécurité formel n’a accompagné cette mise à jour. Le correctif a supprimé la fonction défectueuse et empêche désormais que les points-virgules contenus dans un lien soient interprétés comme des séparateurs de commandes.