Telegram Desktop 원클릭 계정 탈취 — 링크 하나로 세션 파일을 빼간다, 조용히 고쳐졌다

보안 연구자 블로그 beaksec가 10월 3일 공개하고 7일 CVE가 붙은 Telegram Desktop 취약점입니다. 제목 그대로 한 번 클릭하면 계정을 빼앗깁니다.

어떻게 동작하나

1. 공격자가 보낸 일반 https 링크가 서버에서 302로 tg:// 링크로 넘어갑니다. 브라우저가 이를 Telegram Desktop에 전달합니다.
2. Telegram Desktop은 이미 실행 중인 인스턴스에 단일 인스턴스 IPC 소켓으로 링크를 넘기는데, 이때 구분자인 세미콜론을 이스케이프하지 않습니다. 링크 안의 세미콜론이 별도 명령으로 쪼개집니다.
3. 주입한 OPEN: 명령으로 내부 전용 interpret: 스킴에 닿습니다. 이 기능은 지정한 파일을 읽어 채널로 전송하며, 권한 확인도 사용자 확인도 없습니다.
4. 지시 파일은 공격자가 그룹에 올린 텍스트 파일로, 자동 다운로드로 피해자의 다운로드 폴더에 미리 떨어져 있습니다. 상대 경로로 가리킵니다.
5. 전송되는 파일은 tdata의 key_datas, 세션 인증 파일, maps입니다. 로컬 패스코드가 없으면 이 파일만으로 세션을 열 수 있습니다.

채팅 안의 tg:// 링크는 프로세스 내부에서 처리되므로 이 경로가 아닙니다. 외부 브라우저를 거치는 링크가 조건입니다.

타임라인

날짜	내용
6월 25일	ZDI를 통해 제보
9월 16일	Telegram이 독자적으로 수정 (커밋 "Remove legacy interpret path helper")
9월 17일	7.2.9 공개. 변경 로그에는 렌더링 수정만
9월 30일	ZDI "이미 수정됨"으로 종결
10월 3일	공개
10월 7일	CVE-2026-107181

확인된 것과 아닌 것

확인: Windows 6.9.3에서 재현. 수정 커밋이 interpret:// 제거, 소켓 구분자 이스케이프, 로컬 경로 처리 제한을 포함. 미확인: 실제 악용 여부. Windows 외 OS에서의 재현. 영향 사용자 수. Telegram이 공지를 내지 않아 공식 입장이 없습니다.

실무에서 할 일

7.2.9 이상으로 올리세요. 그게 전부이고, 유일한 근본 해결입니다. 추가로 글이 권하는 설정 — 파일마다 저장 위치 묻기(자동 다운로드 차단), 그룹 초대를 연락처로 제한, 로컬 패스코드 설정. 패스코드는 파일 탈취를 막지 못하지만 탈취된 세션을 쓸모없게 만듭니다. 회사에서 Telegram을 쓴다면 버전 확인을 한 번 돌리세요. 변경 로그만 보고 넘긴 사람이 있을 겁니다.