文章目录📖 介绍 📖🖥️ 演示环境📒 一个分号引发的连锁反应：漏洞原理、自查方法与防护清单 📒🔬 漏洞原理：从一条链接到文件外传的完整链路🔬 版本范围🔬 三步自查：版本、会话、聊天记录🔬 防护清单：升级之外，这四个设置才是长期保险🔬 边界与不确定⚓️ 相关链接 ⚓️📖 介绍 📖有人把您拉进一个群，群里出现一条链接，您顺手在浏览器里点了一下——桌面的 Telegram 就开始把您电脑上的本地文件，包括登录会话数据，往攻击者的频道里传。这不是段子：安全研究者 BeakSEK 在 2026 年 10 月初公开了完整技术分析，漏洞编号 CVE-2026-107181，CVSS 4.0 评分 8.6（High），概念验证代码（PoC）已经公开。更麻烦的是，Telegram 官方在 9 月 17 日的 7.2.9 版本里悄悄修掉了这个洞，但更新说明只写了一句「修复渲染问题」，只字未提安全问题——也就是说，不少人到现在还跑在有漏洞的版本上，浑然不知。这篇文章把整件事拆开讲清楚：漏洞的原理是什么、哪些版本受影响、怎么自查自己有没有中招，以及除了升级之外还应该顺手改掉的几个设置。内容基于公开研究与多方报道交叉核实，供大家参考。🖥️ 演示环境💻 系统：Windows 11，Telegram Desktop 客户端