Une faille de Telegram Desktop permettait de d\u00e9rober des fichiers locaux, dont ceux maintenant une session connect\u00e9e. Le chercheur BeakSec a d\u00e9taill\u00e9 cette cha\u00eene d\u2019attaque d\u00e9but octobre, apr\u00e8s sa correction dans la version 7.2.9, publi\u00e9e le 17 septembre 2026. La d\u00e9monstration concerne Windows ; elle ne prouve pas une campagne massive de piratage.<\/p>\n
Le probl\u00e8me venait de la mani\u00e8re dont deux processus de l\u2019application \u00e9changeaient une adresse. Des points-virgules pr\u00e9sents dans un lien pouvaient \u00eatre interpr\u00e9t\u00e9s comme des s\u00e9parateurs d\u2019instructions. Cette confusion donnait acc\u00e8s \u00e0 un ancien outil interne capable d\u2019envoyer un fichier vers une conversation.<\/p>\n
Le clic n\u2019\u00e9tait toutefois pas la seule condition. Dans la d\u00e9monstration, des fichiers pr\u00e9par\u00e9s par l\u2019attaquant avaient d\u2019abord \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s dans un groupe. Un lien web redirigeait ensuite le navigateur vers Telegram. Selon le navigateur, une confirmation pouvait \u00eatre demand\u00e9e avant l\u2019ouverture de l\u2019application.<\/p>\n
Autre distinction importante : le code d\u2019acc\u00e8s local ne bloquait pas le vol de fichiers, mais prot\u00e9geait leur utilisation pour r\u00e9cup\u00e9rer la session. Il ne faut pas le confondre avec la v\u00e9rification en deux \u00e9tapes du compte.<\/p>\n
Le billet du chercheur classe la gravit\u00e9 \u00e0 8,1\/10, alors que Numerama rapporte 8,6\/10. Plut\u00f4t que pr\u00e9senter ces \u00e9valuations comme identiques, le point pratique est de v\u00e9rifier la version install\u00e9e : 7.2.9 ou ult\u00e9rieure ferme cette vuln\u00e9rabilit\u00e9. Restreindre les invitations aux groupes et les t\u00e9l\u00e9chargements automatiques r\u00e9duit l\u2019exposition, sans remplacer la mise \u00e0 jour.<\/p>\n