Telegram Desktop をワンクリック侵害から守る設定

何を解決するか / いつ使うか

• Telegram Desktop（特に Windows）を業務や個人の連絡に使っており、グループ招待やリンクを日常的に開くとき。
• SSH 鍵や認証情報が同じ端末にあり、「メッセンジャー＝低リスク」とみなしていたとき。
• CVE 対応のパッチ適用と、パッチ前・併用の設定ハードニングを一気にやりたいとき。

具体的な防御手順

1. Telegram Desktop を 7.2.9 以降へ更新する（投稿時点の対象は 7.2.9 未満。研究者の再現は Windows。CVE-2026-107181）。
2. ファイルの自動保存を止める（ファイルごとに保存先を尋ねる設定）。攻撃成立条件の一つが、攻撃者グループへ追加されたあとの指示用ファイルの自動保存。
3. グループに追加できる相手を連絡先に限定する。見知らぬグループへの自動参加経路を減らす。
4. 推測されにくいローカルパスコードを設定する。既定は未設定。パスコードはファイル流出そのものは止めないが、盗まれたセッション情報でのアカウント乗っ取りを困難にする。
5. 仕組みの要約（運用判断用）: 起動中 Desktop へのリンク引き渡し IPC で区切り文字 ; がエスケープされず、リンクに埋め込んだ命令で内部のファイル送信機能を呼べる。ブラウザー経由で通常の https から細工した tg:// へ誘導する流れが報告されている。

注意点

• リリースノートに本件の記載が無くても、版番号で更新する。
• 補助策だけでは不十分。更新が第一、設定は防御深度。
• CVSS は High 帯（投稿時点の評価）。悪用は PoC 段階との SSVC 評価あり。一次情報（研究者記事・公式版）を確認する。

出典

• @MalwareBibleJP · 2026-10-11
• 参考: beaksec.github.io