Uma falha no Telegram Desktop colocou em risco usuários que costumam exportar conversas para arquivos HTML como forma de backup. Descoberta por pesquisadores da ExPatch, a vulnerabilidade permitia inserir JavaScript oculto em mensagens que, posteriormente, poderia ser executado quando o arquivo de exportação fosse aberto em um navegador.
O problema merece atenção porque o ataque não dependia necessariamente de uma ação sofisticada por parte da vítima. Uma mensagem maliciosa poderia permanecer no histórico de uma conversa e ser carregada para uma exportação HTML. A partir daí, o código poderia acessar informações presentes no arquivo e transmiti-las para um servidor controlado pelo atacante.
A vulnerabilidade afetou versões do Telegram Desktop para Linux, Windows e macOS. Embora o gerador de exportações tenha sido corrigido nas versões posteriores, existe uma particularidade importante: arquivos HTML criados antes da correção continuam potencialmente perigosos. Atualizar o aplicativo não modifica automaticamente os backups que já estão armazenados no computador.
Como funcionava a falha no Telegram Desktop
A vulnerabilidade explorava uma falha de sanitização durante a geração das exportações HTML. Em condições normais, conteúdo controlado pelo usuário deveria ser convertido para uma representação segura antes de ser inserido no código HTML.
O problema estava relacionado a determinados elementos de botões de teclado embutido, usados por bots para apresentar opções interativas dentro das conversas. Segundo a pesquisa divulgada pela ExPatch, uma parte desse conteúdo não recebia o mesmo tratamento de escape aplicado ao texto comum.
Na prática, isso criava uma situação semelhante a um XSS armazenado, ou stored Cross-Site Scripting. O código malicioso não precisava ser executado diretamente dentro da interface normal do Telegram. Ele permanecia associado à mensagem e era incorporado posteriormente ao arquivo HTML produzido pelo recurso de exportação.
Esse detalhe é importante para entender a gravidade do problema. O Telegram Desktop poderia apresentar a mensagem de maneira aparentemente normal, enquanto o conteúdo perigoso ficava escondido na estrutura que seria utilizada para gerar o arquivo HTML.
A correção passou justamente pela necessidade de tratar esses dados de forma segura. Entre as alterações identificadas na implementação corrigida está a aplicação de mecanismos de escape ao conteúdo dos botões, além de tratamento adicional de caracteres utilizados em atributos JavaScript.
O papel das mensagens encaminhadas na falha no Telegram Desktop
Um dos aspectos mais preocupantes da vulnerabilidade era a possibilidade de o conteúdo malicioso persistir no histórico das conversas.
Um bot poderia enviar uma mensagem especialmente preparada contendo um botão com conteúdo malicioso. Essa mensagem poderia então ser encaminhada para outros grupos ou conversas. O usuário não precisava necessariamente interagir com o botão para que o conteúdo chegasse ao seu histórico.
Isso transforma a vulnerabilidade em um problema de propagação indireta. Uma pessoa poderia receber uma mensagem aparentemente inofensiva, encaminhá-la para outro grupo e, posteriormente, exportar aquele histórico sem perceber que havia um conteúdo potencialmente perigoso dentro do arquivo.
A execução aconteceria em uma etapa completamente diferente: quando o arquivo HTML exportado fosse aberto posteriormente.
Esse comportamento também ajuda a explicar por que o problema não deve ser tratado apenas como uma vulnerabilidade convencional da interface do Telegram. O vetor de ataque envolvia a combinação entre mensagens recebidas, histórico persistente e arquivos HTML gerados localmente.
O impacto do script ao abrir a exportação HTML
O ponto crítico acontecia quando o usuário abria o arquivo exportado em um navegador com JavaScript habilitado.
Como o código malicioso passava a fazer parte do documento HTML, ele poderia ser interpretado pelo navegador como parte legítima da página. De acordo com os pesquisadores, o script poderia acessar o conteúdo disponível na exportação, incluindo mensagens e informações dos chats, e transmitir esses dados para uma infraestrutura externa.
Isso significa que um arquivo aparentemente estático de backup poderia deixar de ser apenas um documento para se transformar em uma superfície de ataque.
Dependendo do conteúdo disponível no arquivo, o atacante poderia tentar coletar informações pessoais, conversas privadas, dados de grupos e outros elementos presentes na exportação. A pesquisa também aponta possibilidades de manipulação do conteúdo exibido, abrindo espaço para golpes de phishing, falsificação visual ou desfiguração do documento.
É importante destacar que o cenário não significa que qualquer conversa do Telegram pudesse ser automaticamente roubada apenas pela existência da vulnerabilidade. O ataque dependia de uma cadeia específica de eventos, principalmente da presença do conteúdo malicioso e da abertura posterior de uma exportação comprometida.
Ainda assim, o risco é relevante para usuários que utilizam o recurso de exportação como backup de informações sensíveis, especialmente em ambientes profissionais ou administrativos.
Versões afetadas e correção da vulnerabilidade no Telegram Desktop
A faixa de versões apontada pela pesquisa vai da 4.15.1 até a 6.9.3. A correção apareceu primeiro na versão beta 6.9.4 e posteriormente chegou à versão estável 7.0.1.
O histórico oficial do projeto confirma a existência da versão 6.9.4 beta, seguida pela versão estável 7.0.1, publicada em julho de 2026. O lançamento 7.0.1 também registra alterações relacionadas a mensagens invisíveis e outros recursos introduzidos naquele ciclo.
A correção foi associada a um commit de John Preston, desenvolvedor do Telegram Desktop, identificado pelos pesquisadores como parte da alteração que eliminou o problema no gerador de HTML.
Para quem utiliza o aplicativo atualmente, a recomendação mais importante é simples: mantenha o Telegram Desktop atualizado. Versões posteriores à 7.0.1 incorporam a correção, portanto usuários que ainda estejam utilizando versões antigas devem atualizar o quanto antes.
O problema dos backups antigos
Existe, porém, uma diferença fundamental entre corrigir o aplicativo e corrigir os arquivos já exportados.
Um HTML criado enquanto o Telegram Desktop estava vulnerável pode continuar contendo o código malicioso mesmo depois que o programa foi atualizado. O arquivo é independente do aplicativo que originalmente o produziu.
Por isso, um backup antigo não se torna automaticamente seguro apenas porque o Telegram Desktop instalado no computador recebeu uma atualização. A pesquisa da ExPatch alerta justamente para esse cenário.
Usuários que possuem exportações antigas devem tratá-las com cautela, especialmente se foram produzidas entre as versões vulneráveis. Em ambientes corporativos, também é importante considerar arquivos armazenados em servidores, sistemas de backup, compartilhamentos de rede ou mídias externas.
A controvérsia envolvendo a resposta do Telegram
Além do aspecto técnico, a descoberta gerou discussão sobre a forma como o problema foi tratado pelo Telegram.
Segundo o relato associado à pesquisa, os pesquisadores receberam uma recompensa de US$ 500 pelo programa de bug bounty. Ao mesmo tempo, houve questionamentos sobre a ausência de uma identificação CVE e de um aviso de segurança mais explícito nas notas oficiais relacionadas à correção.
Outro ponto controverso envolve a divulgação pública da pesquisa após a correção. Os pesquisadores afirmaram ter enfrentado resistência à publicação do material técnico, o que alimentou críticas sobre transparência na comunicação de vulnerabilidades.
É importante separar, nesse caso, a existência da correção técnica da discussão sobre o processo de divulgação. O código do Telegram Desktop recebeu mudanças que corrigiram o comportamento vulnerável, mas a ausência de uma comunicação de segurança mais detalhada pode dificultar a identificação do risco por usuários que mantêm versões antigas ou arquivos de exportação históricos.
Para administradores e profissionais de segurança, esse episódio reforça uma regra importante: um changelog convencional nem sempre é suficiente para avaliar o impacto de uma atualização.
O que fazer agora para reduzir o risco
Quem utiliza o Telegram Desktop deve começar verificando a versão instalada. Se estiver utilizando uma versão antiga, a prioridade é atualizar para uma versão corrigida.
Além disso, usuários que já fizeram exportações HTML devem considerar as seguintes medidas:
- Não abra backups HTML antigos de origem desconhecida ou potencialmente comprometida em um navegador com JavaScript habilitado.
- Revise exportações criadas com versões vulneráveis, principalmente aquelas que contêm conversas de grupos ou canais onde mensagens de bots e conteúdos encaminhados são frequentes.
- Se precisar consultar um arquivo antigo, considere fazê-lo em um ambiente isolado, sem acesso desnecessário à rede.
- Para novos backups, gere novamente as exportações utilizando uma versão corrigida do Telegram Desktop.
- Em ambientes corporativos, identifique cópias antigas armazenadas em servidores, estações de trabalho e sistemas de backup.
- Evite tratar arquivos HTML exportados como documentos completamente passivos. HTML pode conter scripts, e a abertura em um navegador pode executar conteúdo ativo.
A recomendação também vale para quem utiliza Linux, onde o Telegram Desktop é particularmente popular entre usuários avançados, administradores e entusiastas de software livre. O mesmo cuidado deve ser aplicado em Windows e macOS, já que a vulnerabilidade estava relacionada ao mecanismo de exportação do aplicativo, e não a uma característica exclusiva de um sistema operacional.
A falha no Telegram Desktop mostra como recursos aparentemente simples, como exportar uma conversa para HTML, podem introduzir riscos que passam despercebidos durante anos de uso cotidiano. O caso também demonstra que backups precisam ser tratados como conteúdo potencialmente ativo quando utilizam formatos capazes de executar código.
Para usuários que mantêm históricos importantes, a combinação mais segura é atualizar o aplicativo, revisar arquivos antigos e evitar a abertura indiscriminada de exportações HTML criadas antes da correção.
Se você administra computadores ou comunidades técnicas, vale compartilhar este alerta com outros usuários do Telegram. Quanto mais cedo exportações antigas forem identificadas e tratadas com cautela, menor será a possibilidade de que um arquivo de backup aparentemente inofensivo se transforme em um vetor de vazamento de dados.
