보안 분석은 Telegram Desktop 7.2.8 이하에서 프로세스 간 통신의 구분자 처리와 내부 파일 전송 기능을 악용해 로컬 파일이 유출될 수 있었다고 설명한다. 자동 다운로드된 파일과 외부 브라우저를 거친 링크 클릭 등이 공격 조건이며, 로컬 패스코드가 없으면 세션 탈취로 이어질 수 있다. 9월 17일 공개된 7.2.9가 이를 수정했다. CVE-2026-107181의 CVSS 3.1 점수는 8.1이며 설정 변경은 노출을 줄이는 보완책일 뿐 업데이트가 우선이다.