Павел Дуров прокомментировал утренние сообщения об уязвимости безопасности мессенджера.
Он утверждает, что СМИ, совершенно не разбираются в деталях, а просто путают читателей своими догадками.
#уязвимости
Он утверждает, что СМИ, совершенно не разбираются в деталях, а просто путают читателей своими догадками.
#уязвимости
Telegram
Павел Дуров
Очередное сообщение о несуществующей уязвимости, распространяемое российскими СМИ.
C технической точки зрения утверждение заявившего об уязвимости сводится к следующему:
“Eсли бы у меня был доступ к Вашему компьютеру, я бы смог прочитать Ваши сообщения”.…
C технической точки зрения утверждение заявившего об уязвимости сводится к следующему:
“Eсли бы у меня был доступ к Вашему компьютеру, я бы смог прочитать Ваши сообщения”.…
Опасная уязвимость в Telegram Desktop: кража любых файлов в один клик
Чего делать НЕЛЬЗЯ и как защититься:
• Не оставайтесь на версиях ниже 7.2.9 — срочно обновите клиент. Если вы используете неофициальный клиент, временно перейдите на официальный, пока не выйдет обновление.
Скачать:
• Windows / macOS / Linux: официальный сайт или GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub,Snapcraft.
Совет для пользователей старых клиентов:
• Ссылки опасны: кликая по любым ссылкам, внимательно читайте всплывающее окно — если Telegram показывает в ссылке странную структуру (например, начинается с tg://), не переходите по ней.
• Не держите клиент без локального код-пароля: его включение шифрует файлы сессии в каталоге
В чём суть проблемы?
В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181). Из-за отсутствия экранирования разделителя
Главный риск
Опасность не ограничивается только перехватом файлов сессии
#безопасность #desktop #уязвимости
Чего делать НЕЛЬЗЯ и как защититься:
• Не оставайтесь на версиях ниже 7.2.9 — срочно обновите клиент. Если вы используете неофициальный клиент, временно перейдите на официальный, пока не выйдет обновление.
Скачать:
• Windows / macOS / Linux: официальный сайт или GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub,Snapcraft.
Совет для пользователей старых клиентов:
• Ссылки опасны: кликая по любым ссылкам, внимательно читайте всплывающее окно — если Telegram показывает в ссылке странную структуру (например, начинается с tg://), не переходите по ней.
• Не держите клиент без локального код-пароля: его включение шифрует файлы сессии в каталоге
tdata, предотвращая мгновенный захват аккаунта даже при их утечке.В чём суть проблемы?
В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181). Из-за отсутствия экранирования разделителя
; параметры в ссылках схемы tg:// распознавались как отдельные IPC-команды. С помощью служебного обработчика interpret: атакующий мог при клике на подготовленную ссылку незаметно отправить файлы с системы в свой канал без подтверждения со стороны пользователя.Главный риск
Опасность не ограничивается только перехватом файлов сессии
tdata и угоном аккаунта. Эксплуатация позволяет скрытно украсть абсолютно любые файлы на компьютере, к которым у пользователя есть доступ: документы, сохранённые сессии браузеров, SSH-ключи, системные конфигурации или кошельки с криптовалютой.#безопасность #desktop #уязвимости
2👍314😱171👏68🎉67🤡43🤬41😍27🥰18👎17🍾10
Исследователь обошёл серверную проверку стикеров в Telegram для zero-click взлома iOS — тем временем мессенджер заменил уязвимую библиотеку
UPD 29.10.26. Автор исследователя подтвердил, что Telegram устранил проблему переходом на библиотеку tlottie. Пользователи последних версий официальных приложений Telegram защищены.
Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад на конференции OffensiveCon — на протяжении года исследователь изучал безопасность стикеров Telegram. Совсем недавно Telegram переделал библиотеку стикеров, поэтому без подробностей непонятно, исправили ли обновления анонсированные уязвимости.
Прямой угрозы пользователям Telegram на актуальных версиях официальных приложений сейчас скорее всего нет.
Что именно обнаружил исследователь?
• С помощью автоматической переборки (fuzzing) под управлением ИИ, в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров, было найдено несколько уязвимостей. В Telegram для iOS это даёт возможность исполнять код на устройстве жертвы.
• Telegram рассчитывает на то, что серверная проверка отсечёт вредоносные файлы.
• Исследователь нашёл логические ошибки в доставке и проверке стикеров. С их помощью он обошёл защитные механизмы.
• По словам автора, даже после получения отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код рендеринга по-прежнему остаётся в официальных клиентах.
Telegram сменил библиотеку для стикеров
Пока шло исследование, Telegram изменил подход. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, портированную на Rust. Она уже используется в Telegram Desktop, macOS, Android; с сентября она стала использоваться и в Telegram для iOS.
Библиотека tlottie закрывает целый класс ошибок памяти, на которых годами строились атаки через стикеры. По мнению редакции, обновляя библиотеку в клиентских приложениях, администрация мессенджера демонстрирует, что в вопросах безопасности не полагается на одни лишь серверные проверки.
Актуальны ли находки сейчас?
• Материалы доклада пока не опубликованы онлайн. На каких версиях проверялась цепочка и в чём именно суть уязвимостей, станет известно позже.
• Исследование шло год, а в анонсе речь идёт именно об rlottie. Поэтому есть основания сомневаться, что проблема осталась на актуальных версиях, но исключать этого всё же нельзя. Кроме того, логические ошибки в доставке и проверке стикеров от библиотеки рендеринга не зависят.
• Rust — не гарантия. Независимых аудитов и публичного анализа tlottie пока нет, поэтому продемонстрировать своё качество библиотека сможет только со временем.
Системная проблема
История с уязвимостями в стикерах существует уже много лет. Ещё в 2020 году специалисты Shielder нашли в rlottie 13 багов, позволявших удалённо повреждать память устройства. Telegram тогда лишь точечно закрыл конкретные ошибки.
При этом компания публично отрицала риски. В 2025 году брокер Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а представитель Telegram утверждал в комментарии Forbes, что мессенджер «никогда не был уязвим для zero-click эксплойтов».
В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram. Пресс-служба мессенджера заявила «Коду Дурова», что «наличие такого эксплойта невозможно», поскольку все стикеры проверяются серверами. Редакция @tginfo тогда же указывала, что серверная валидация — лишь один из слоёв защиты, который может содержать ошибки, с чем согласен и вывод нового исследования. В октябре ZDI опубликовал полные подробности об уязвимости, пометив её незакрытой.
В своём анонсе Сайфелдин Азиз ставит под сомнение подход Telegram к обеспечению безопасности, а также спекулирует на тему того, что такие уязвимости могут использоваться для создания бекдоров.
По мнению редакции @tginfo, переход на tlottie — первый за много лет шаг к решению проблемы, а не очередная заплатка. Telegram зачастую агрессивно отрицает вероятность любых уязвимостей или замалчивает проблемы. Редакция @tginfo отмечает, что доверие создают не такие декларации, а открытое признание проблем и независимая проверка кода.
#уязвимости
UPD 29.10.26. Автор исследователя подтвердил, что Telegram устранил проблему переходом на библиотеку tlottie. Пользователи последних версий официальных приложений Telegram защищены.
Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад на конференции OffensiveCon — на протяжении года исследователь изучал безопасность стикеров Telegram. Совсем недавно Telegram переделал библиотеку стикеров, поэтому без подробностей непонятно, исправили ли обновления анонсированные уязвимости.
Прямой угрозы пользователям Telegram на актуальных версиях официальных приложений сейчас скорее всего нет.
Что именно обнаружил исследователь?
• С помощью автоматической переборки (fuzzing) под управлением ИИ, в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров, было найдено несколько уязвимостей. В Telegram для iOS это даёт возможность исполнять код на устройстве жертвы.
• Telegram рассчитывает на то, что серверная проверка отсечёт вредоносные файлы.
• Исследователь нашёл логические ошибки в доставке и проверке стикеров. С их помощью он обошёл защитные механизмы.
• По словам автора, даже после получения отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код рендеринга по-прежнему остаётся в официальных клиентах.
Telegram сменил библиотеку для стикеров
Пока шло исследование, Telegram изменил подход. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, портированную на Rust. Она уже используется в Telegram Desktop, macOS, Android; с сентября она стала использоваться и в Telegram для iOS.
Библиотека tlottie закрывает целый класс ошибок памяти, на которых годами строились атаки через стикеры. По мнению редакции, обновляя библиотеку в клиентских приложениях, администрация мессенджера демонстрирует, что в вопросах безопасности не полагается на одни лишь серверные проверки.
Актуальны ли находки сейчас?
• Материалы доклада пока не опубликованы онлайн. На каких версиях проверялась цепочка и в чём именно суть уязвимостей, станет известно позже.
• Исследование шло год, а в анонсе речь идёт именно об rlottie. Поэтому есть основания сомневаться, что проблема осталась на актуальных версиях, но исключать этого всё же нельзя. Кроме того, логические ошибки в доставке и проверке стикеров от библиотеки рендеринга не зависят.
• Rust — не гарантия. Независимых аудитов и публичного анализа tlottie пока нет, поэтому продемонстрировать своё качество библиотека сможет только со временем.
Системная проблема
История с уязвимостями в стикерах существует уже много лет. Ещё в 2020 году специалисты Shielder нашли в rlottie 13 багов, позволявших удалённо повреждать память устройства. Telegram тогда лишь точечно закрыл конкретные ошибки.
При этом компания публично отрицала риски. В 2025 году брокер Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а представитель Telegram утверждал в комментарии Forbes, что мессенджер «никогда не был уязвим для zero-click эксплойтов».
В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram. Пресс-служба мессенджера заявила «Коду Дурова», что «наличие такого эксплойта невозможно», поскольку все стикеры проверяются серверами. Редакция @tginfo тогда же указывала, что серверная валидация — лишь один из слоёв защиты, который может содержать ошибки, с чем согласен и вывод нового исследования. В октябре ZDI опубликовал полные подробности об уязвимости, пометив её незакрытой.
В своём анонсе Сайфелдин Азиз ставит под сомнение подход Telegram к обеспечению безопасности, а также спекулирует на тему того, что такие уязвимости могут использоваться для создания бекдоров.
По мнению редакции @tginfo, переход на tlottie — первый за много лет шаг к решению проблемы, а не очередная заплатка. Telegram зачастую агрессивно отрицает вероятность любых уязвимостей или замалчивает проблемы. Редакция @tginfo отмечает, что доверие создают не такие декларации, а открытое признание проблем и независимая проверка кода.
#уязвимости
1👍77🆒47👏28🎉26🤡14🍾9😱6🤬5😍4👎3🥰1