El investigador de seguridad BeakSec reveló que Telegram Desktop tenía una vulnerabilidad de gravedad alta, CVE-2026-107181, que podía permitir el control de una cuenta. Según ChainCatcher, los atacantes podían colocar un archivo de comandos en un grupo de la víctima, engañar al usuario para que hiciera clic en un enlace que lo redirigía desde el navegador y usar la inyección de comandos mediante comunicación entre procesos para enviar archivos locales a un grupo controlado por el atacante.

Si un atacante también obtenía el archivo de sesión y el usuario no había establecido una contraseña local, podía hacerse con el control de la cuenta. BeakSec indicó que las versiones 7.2.8 y anteriores estaban afectadas, y que el fallo se corrigió en la versión 7.2.9, publicada el 17 de septiembre.