Phân tích lỗ hổng CVE-2026-107181: Nguy cơ chiếm quyền điều khiển Telegram Desktop

• Lỗ hổng định danh: CVE-2026-107181 (CWE-143) với điểm CVSS 4.0 là 8.6 (High).
• Cơ chế tấn công: Lợi dụng lỗi xử lý ký tự phân tách trong giao thức IPC để thực thi lệnh trái phép.
• Tác động: Đánh cắp tệp tin cục bộ và chiếm quyền điều khiển tài khoản người dùng nếu không có mật khẩu bảo vệ.
• Khắc phục: Cập nhật ngay lên phiên bản 7.2.9 hoặc mới hơn.

Tổng quan về lỗ hổng CVE-2026-107181

Các nhà nghiên cứu bảo mật vừa công bố một lỗ hổng nghiêm trọng trong ứng dụng Telegram Desktop, được định danh là CVE-2026-107181. Lỗ hổng này cho phép kẻ tấn công thực hiện các hành vi đánh cắp tệp tin cục bộ và chiếm quyền điều khiển tài khoản người dùng chỉ thông qua việc dụ dỗ nạn nhân nhấp vào một liên kết được thiết kế đặc biệt. Với điểm số CVSS 4.0 là 8.6, đây là một mối đe dọa đáng kể đối với người dùng cá nhân và doanh nghiệp sử dụng ứng dụng này trên nền tảng Windows.

Theo báo cáo kỹ thuật, lỗ hổng xuất phát từ cách thức Telegram Desktop xử lý các liên kết được mở từ bên ngoài ứng dụng. Khi ứng dụng đang chạy, một tiến trình khác có thể truyền liên kết đến ứng dụng chính thông qua cơ chế giao tiếp liên tiến trình (Inter-Process Communication - IPC). Lỗi xảy ra do ứng dụng không thực hiện thoát (escape) đúng cách các ký tự được sử dụng để phân tách bản ghi, dẫn đến việc kẻ tấn công có thể chèn các lệnh độc hại vào trong liên kết.

Phân tích kỹ thuật và chuỗi tấn công

Lỗ hổng này được phân loại theo CWE-143, liên quan đến việc xử lý không đúng các ký tự phân tách bản ghi (Improper Handling of Record Delimiters). Kẻ tấn công có thể lợi dụng điểm yếu này để thao túng luồng dữ liệu mà Telegram Desktop nhận được, từ đó ép ứng dụng thực thi các lệnh không mong muốn.

Cơ chế khai thác

Nhóm nghiên cứu đã chỉ ra rằng các lệnh được tiêm vào có thể truy cập vào một thành phần hỗ trợ nội bộ (internal helper) vốn được thiết kế cho mục đích xuất bản phiên bản (release publishing). Thành phần này thiếu các cơ chế kiểm tra quyền hạn hoặc xác nhận từ người dùng, cho phép nó đọc các tệp tin cục bộ và gửi chúng trực tiếp vào một cuộc trò chuyện do kẻ tấn công kiểm soát.

Chuỗi tấn công này đặc biệt nguy hiểm vì nó có thể dẫn đến việc đánh cắp các tệp tin phiên (session files). Nếu kẻ tấn công chiếm được các tệp này, chúng có thể tái sử dụng để đăng nhập vào tài khoản của nạn nhân trên một thiết bị khác mà không cần thông qua các bước xác thực thông thường, miễn là người dùng không thiết lập mật khẩu cục bộ (local passcode) cho ứng dụng.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Để bảo vệ hệ thống trước các cuộc tấn công khai thác CVE-2026-107181, người dùng và quản trị viên hệ thống cần thực hiện các biện pháp cứng hóa (hardening) ngay lập tức. Việc cập nhật phần mềm là ưu tiên hàng đầu, vì nhà phát triển đã phát hành bản vá trong phiên bản 7.2.9.

Các bước khắc phục thực chiến

• Cập nhật phần mềm: Nâng cấp ngay lập tức Telegram Desktop lên phiên bản 7.2.9 hoặc cao hơn. Bản vá này đã loại bỏ thành phần hỗ trợ cũ và cải thiện cơ chế xử lý ký tự phân tách.
• Thiết lập mật khẩu cục bộ: Kích hoạt tính năng mật khẩu cục bộ (Local Passcode) trong phần cài đặt bảo mật của Telegram để ngăn chặn việc truy cập trái phép vào dữ liệu phiên.
• Hạn chế quyền hạn: Cấu hình lại các thiết lập quyền riêng tư, đặc biệt là hạn chế quyền thêm người dùng vào nhóm và tắt tính năng tự động tải xuống tệp tin từ các nguồn không xác định.
• Cảnh giác với liên kết: Luôn thận trọng khi nhấp vào các liên kết lạ từ trình duyệt web yêu cầu mở ứng dụng Telegram Desktop.

⚠️ Cảnh báo quan trọng: Mặc dù hiện tại chưa ghi nhận các chiến dịch tấn công quy mô lớn hoặc danh sách trên CISA KEV, nhưng việc PoC đã được công bố rộng rãi làm tăng nguy cơ bị khai thác bởi các tác nhân đe dọa. Người dùng nên kiểm tra các phiên đăng nhập hiện tại và rà soát lịch sử trò chuyện để phát hiện các tệp tin lạ được tải lên bất thường. Bạn có thể tham khảo thêm thông tin chi tiết về các lỗ hổng tương tự tại National Vulnerability Database (NVD) để cập nhật tình hình bảo mật.