Telegram บนคอมคลิกลิงก์ทีเดียวเสี่ยงเสียบัญชี อัปเดต 7.2.9 ก่อน

คลิกเดียวบน Telegram Desktop อาจทำให้บัญชีถูกยึดได้ ตามงานวิจัยของ beaksec แปลว่าแค่เปิดลิงก์ที่เตรียมไว้จากภายนอกแอปก็อาจทำให้ไฟล์หลุด โดยต้องเข้าเงื่อนไขการโจมตีด้วย อ่านงานวิจัยต้นทาง รุ่นก่อน 7.2.9 อยู่ในขอบเขตช่องโหว่ แปลว่าคนใช้คอมคุยงานควรตรวจรุ่นที่ติดตั้ง ไม่ดูแค่ว่ามือถืออัปเดตแล้ว ตามข้อมูล Tenable

ชื่อช่องโหว่คือ CVE-2026-107181 ซึ่งเป็นรหัสอ้างอิงปัญหาความปลอดภัยนี้ ตามฐานข้อมูล Tenable นักวิจัยเผยแพร่รายละเอียดวันที่ 3 ตุลาคม 2026 ตามThreatWire สำหรับคนรับงานฟรีแลนซ์ คุยกับลูกค้า หรือเปิดกลุ่มครอบครัวบนคอม ประเด็นอยู่ที่ไฟล์และบัญชีซึ่งคุณใช้ทุกวัน ไม่จำเป็นต้องเข้าใจคำสั่งโจมตีก่อนลงมือป้องกันครับ

สรุป 30 วินาที: เกิดอะไรขึ้น

beaksec พบว่าลิงก์ที่สร้างขึ้นเฉพาะสามารถแทรกคำสั่งระหว่างส่วนที่ทำงานของ Telegram Desktop ได้ จากนั้นคำสั่งไปถึงเครื่องมือภายในที่อ่านไฟล์ในคอมแล้วส่งเข้าแชตของผู้โจมตี โดยไม่ขอคำยืนยัน ตามรายละเอียดนักวิจัย ไฟล์ที่ถูกอ่านอาจรวมข้อมูลการเข้าสู่ระบบ ซึ่งนำไปสู่การยึดบัญชีได้เมื่อผู้ใช้ไม่ได้ตั้งรหัสล็อกแอปบนเครื่อง ตามคำอธิบาย ThreatWire

รุ่นแก้ไขคือ 7.2.9 แปลว่ารุ่นนี้หรือใหม่กว่าคือเป้าหมายในการอัปเดต ตามงานวิจัย beaksec หน้าปล่อยรุ่นบน GitHub ระบุวันที่ 17 กันยายน 2026 แต่บันทึกการเปลี่ยนแปลงกล่าวถึงการแก้ภาพแสดงผลผิดเท่านั้น ตามrelease notes ทางการ

การสาธิตยืนยันบน Windows ส่วน macOS และ Linux ยังไม่มีการสาธิตในงานเขียนนี้ ตามThreatWire ข่าวนี้จึงเกี่ยวกับโปรแกรมบนคอมโดยตรง รุ่นมือถือไม่ได้อยู่ในหัวข้อ CVE นี้ตามแหล่งเดียวกัน แล้วลิงก์ที่หน้าตาเหมือนทางลัดเข้าแชต กลายเป็นช่องส่งไฟล์ออกจากคอมได้อย่างไร?

ทำไมเรื่องนี้เกี่ยวกับคุณ

สำหรับพนักงานออฟฟิศหรือเจ้าของร้านที่รับไฟล์ผ่านกลุ่ม ความเสี่ยงเริ่มก่อนเปิดไฟล์เองได้ครับ beaksec ระบุว่าค่าตั้งต้นอนุญาตให้ใครก็ได้เพิ่มผู้ใช้เข้ากลุ่ม ตามงานวิจัย กลุ่มยังดาวน์โหลดไฟล์ขนาดไม่เกิน 8 MiB อัตโนมัติ แปลว่าไฟล์แนบขนาดเล็กอาจลงเครื่องโดยคุณไม่ได้กดดาวน์โหลด ตามแหล่งเดียวกัน

MiB คือหน่วยขนาดไฟล์ ส่วนที่สำคัญสำหรับคุณคือพฤติกรรมดาวน์โหลดเบื้องหลังครับ นักวิจัยแยกไว้ด้วยว่าช่องประกาศไม่ได้เปิดดาวน์โหลดอัตโนมัติแบบเดียวกับกลุ่ม ตามคำอธิบาย beaksec จึงไม่ควรเหมารวมว่าทุกพื้นที่ใน Telegram มีเงื่อนไขเหมือนกัน หรือทุกไฟล์ที่ได้รับคือหลักฐานว่าโดนโจมตีแล้ว

ถ้าคุณใช้ Windows ทำงาน ขอบเขตนี้มีผลทดสอบรองรับโดยตรง ตามThreatWire ถ้าใช้ Mac ต้องแยกระหว่างคำแนะนำให้อัปเดตกับข้อสรุปว่าโจมตีได้แน่นอน เพราะแหล่งเดียวกันระบุว่ายังไม่ได้สาธิตบน macOS การไม่มีผลทดลองบนระบบของคุณจึงเป็นช่องว่างของหลักฐาน ไม่ควรนำมาใช้รับรองว่าเครื่องปลอดภัย

ทำงานยังไง

เมื่อเบราว์เซอร์เปิดลิงก์สำหรับ Telegram ระบบอาจเริ่มส่วนทำงานใหม่ของโปรแกรม แม้แอปเดิมเปิดอยู่แล้ว ตามงานวิจัย beaksec ส่วนใหม่จึงส่งลิงก์ต่อให้ส่วนเดิมผ่าน IPC หรือช่องสื่อสารระหว่างส่วนทำงานของโปรแกรมในคอม การส่งต่อนี้เองเป็นจุดที่ข้อมูลในลิงก์ถูกอ่านผิดเป็นคำสั่ง ตามแหล่งเดียวกัน

ปัญหาเกิดจากโปรแกรมไม่ได้แยกตัวอักษรในข้อมูลออกจากตัวแบ่งคำสั่งอย่างถูกต้อง ตามคำอธิบาย Tenable ผลคือคำขอเปิดลิงก์อาจกลายเป็นคำสั่งเพิ่มเติม แล้วไปเรียกเครื่องมือเก่าที่ใช้ช่วยเผยแพร่รุ่นโปรแกรม ตามงานวิจัย เครื่องมือนี้อ่านไฟล์และส่งออกได้ แต่ไม่ได้ตรวจว่าผู้สั่งมีสิทธิ์หรือขอให้ผู้ใช้ยืนยันก่อน

นึกถึงการส่งซองเอกสารในออฟฟิศครับ คนรับซองควรอ่านแค่รายการที่ผู้ส่งมีสิทธิ์ขอ แต่กลับตีความข้อความที่แทรกมาเป็นคำสั่งให้ส่งเอกสารอื่นออกไปด้วย อุปมานี้ช่วยอธิบายว่าทำไมความผิดพลาดตอนส่งข้อมูลต่อ จึงไปเชื่อมกับเครื่องมือที่มีสิทธิ์อ่านไฟล์ ตามกลไกที่beaksec อธิบาย

ส่วนการเสียบัญชีเกี่ยวกับ session หรือข้อมูลที่ทำให้แอปใช้งานบัญชีต่อได้หลังเข้าสู่ระบบแล้วครับ นักวิจัยระบุว่าข้อมูลนี้ถูกเข้ารหัสบนเครื่อง แต่ถ้าไม่ได้ตั้ง local passcode หรือรหัสล็อกแอปเฉพาะเครื่อง ข้อมูลที่ถูกขโมยสามารถนำไปถอดและใช้บัญชีต่อได้ ตามงานวิจัย beaksec รหัสล็อกแอปจึงช่วยเรื่องนำข้อมูลไปใช้ซ้ำ แต่ไม่หยุดการขโมยไฟล์

จุดหักมุม: แพตช์มาแล้ว แต่ข่าวความปลอดภัยไม่ได้มาด้วย

แต่แพตช์ไม่ได้รอข่าวเดือนตุลาคมครับ Telegram ปล่อยรุ่นแก้ไขตั้งแต่กลางกันยายน ขณะที่ข้อความบนหน้าปล่อยรุ่นมีเพียง “Fix some tlottie incorrect renderings.” ตามGitHub ผู้อ่านจึงเห็นข้อความเรื่องภาพแสดงผล โดยไม่มีคำอธิบายความเสี่ยงบัญชีในบันทึกนั้น

อีกจุดที่ต้องอ่านให้ครบคือ ลิงก์ที่กดแล้วจัดการภายใน Telegram โดยตรงไม่ผ่านช่องสื่อสารที่มีปัญหานี้ ตามbeaksec แต่ลิงก์เว็บจากแชตอาจพาไปเบราว์เซอร์ แล้วกลับมาเปิดแอปจากภายนอกได้ตามงานวิจัยเดียวกัน สถานที่ที่เห็นลิงก์กับเส้นทางที่แอปได้รับลิงก์ จึงเป็นคนละเรื่องครับ

เรื่องเงิน / ผลกระทบ

ผลกระทบที่ยืนยันในงานวิจัยคือการอ่านไฟล์จากเครื่องและส่งออกไป รวมถึงข้อมูลที่นำไปยึดบัญชีได้ ตามbeaksec สำหรับคนใช้แชตติดต่อลูกค้า ผมขอแยกมุมใช้งานออกจากตัวข่าว: บัญชีนี้มีทั้งความต่อเนื่องของงานและความไว้วางใจของคู่สนทนา การตรวจคอมที่ใช้ทำงานจึงมีประโยชน์มากกว่ารอให้ตัวเองเปิดแอปไม่ได้ก่อน

แหล่งข้อมูลที่อ่านยังไม่ได้ให้ยอดความเสียหาย จำนวนเหยื่อไทย หรือค่าใช้จ่ายฟื้นฟูบัญชี จึงคำนวณความเสียหายเป็นเงินบาทไม่ได้ครับ ThreatWire ยังระบุว่าไม่พบรายงานการใช้โจมตีจริง ตัวอย่างผลกระทบต่อการคุยงานในบทความนี้จึงเป็นเหตุผลให้ป้องกัน ไม่ใช่รายงานว่าธุรกิจไทยถูกโจมตีแล้ว

CVSS คือเกณฑ์ประเมินความรุนแรงของช่องโหว่ ไม่ใช่เปอร์เซ็นต์ที่คุณจะโดนครับ คะแนนตามเกณฑ์รุ่นเก่าอยู่ที่ 8.1 แปลว่าถูกจัดระดับสูง ตามหน้า Tenable คะแนนตามเกณฑ์รุ่นใหม่อยู่ที่ 8.6 แปลว่ายังคงจัดระดับสูง ตามThreatWire ที่อ้าง VulnCheck ตัวเลขเหล่านี้ช่วยจัดลำดับการแก้ไข แต่ไม่ได้บอกจำนวนผู้เสียบัญชี

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ฝั่งที่เตือนแรงคือ beaksec ซึ่งสาธิตเส้นทางขโมยไฟล์และยึดบัญชีบน Windows ตามงานเขียนต้นทาง ส่วนCybernews เน้นว่าการคลิกลิงก์อาจทำให้บัญชีถูกใช้บนเครื่องอื่นได้ ทั้งสองแหล่งชี้ผลกระทบที่ควรจริงจัง แต่ไม่ได้เป็นหลักฐานจำนวนการโจมตีในชีวิตจริง

ฝั่งที่จำกัดข้อสรุปคือ ThreatWire ซึ่งบอกตรงๆ ว่าไม่ได้รันทดลองเอง และยังไม่มีรายงานการใช้โจมตีจริงที่ทราบ แหล่งนี้ระบุด้วยว่ายังไม่อยู่ใน CISA KEV หรือบัญชีช่องโหว่ที่หน่วยงานความมั่นคงไซเบอร์สหรัฐฯ รวบรวมว่าเคยถูกใช้โจมตี นี่เป็นเสียงค้านต่อการตีความว่าเกิดการโจมตีเป็นวงกว้างแล้ว ไม่ใช่การปฏิเสธว่าช่องโหว่มีอยู่

คะแนนที่ดูต่างกันไม่ได้หมายถึงนักวิจัยกับสื่อประเมินสวนทางกันครับ ThreatWire อธิบายว่าคะแนนของ beaksec ใช้ CVSS 3.1 ส่วนคะแนนที่รายงานอีกค่ามาจาก CVSS 4.0 แปลว่าใช้กติกาคนละรุ่น ทั้งสองค่าปรากฏในหน้า Tenable จึงไม่ควรเลือกค่าหนึ่งแล้วกล่าวหาว่าอีกแหล่งรายงานผิด

แต่มีข้อความที่ไม่ตรงกันจริง: Cybernews พิมพ์รหัสเป็น CVE-2026-10718 ขณะที่งานวิจัย และฐานข้อมูล Tenable ระบุ CVE-2026-107181 บทความนี้ยึดรหัสจากต้นทางและฐานข้อมูล เพื่อให้คุณค้นหาเรื่องเดียวกันได้ถูกต้อง

เรื่องวันแก้กับวันปล่อยรุ่นก็ต้องแยกครับ beaksec ระบุว่าแก้โค้ดวันที่ 16 กันยายน 2026 ตามลำดับเหตุการณ์ แต่หน้า GitHub แสดงวันปล่อยรุ่นเป็นวันถัดมา จึงเป็นคนละเหตุการณ์ ไม่ใช่หลักฐานว่าแพตช์ออกผิดวัน ส่วนบทวิเคราะห์อัปเดตวันที่ 7 ตุลาคม 2026 ตามThreatWire

สิ่งที่ยังไม่รู้คือขอบเขตการโจมตีบน macOS และ Linux รวมถึงมีใครนำไปใช้จริงหรือยัง ตามข้อจำกัดที่ ThreatWire ระบุ Telegram ยังไม่มีประกาศความปลอดภัยอธิบายขอบเขตในแหล่งที่อ่าน และrelease notes ไม่ได้ให้คำตอบนั้น การไม่มีประกาศจึงไม่ใช่คำยืนยันจากบริษัทว่าไม่มีความเสี่ยง

แล้วเราควรทำอะไร

คนทั่วไปที่ใช้ Telegram บนคอม — ทำตามได้เลย

1. ตรวจรุ่น Telegram Desktop แล้วอัปเดตเป็น 7.2.9 หรือใหม่กว่า แปลว่าต้องให้พ้นรุ่นที่ฐานข้อมูลระบุว่าได้รับผลกระทบ ตามคำแนะนำ ThreatWire ทำกับคอมแต่ละเครื่องที่ใช้งาน ไม่ถือว่าการอัปเดตเครื่องหนึ่งครอบคลุมทุกเครื่อง
2. จำกัดคนที่เพิ่มคุณเข้ากลุ่มให้เป็นผู้ติดต่อ ตามคำแนะนำ beaksec ขั้นนี้ลดโอกาสเข้ากลุ่มที่ผู้โจมตีควบคุม แต่ยังต้องอัปเดตเพื่อปิดช่องโหว่
3. เปิดตัวเลือกให้ถามว่าจะบันทึกแต่ละไฟล์ที่ไหน ซึ่งนักวิจัยระบุว่าหยุดดาวน์โหลดอัตโนมัติได้ ตามbeaksec นี่ช่วยตัดเงื่อนไขการเตรียมไฟล์ลงเครื่องในเส้นทางที่สาธิต
4. ตั้งรหัสล็อกแอปเฉพาะเครื่องและเลือกให้แข็งแรง ตามbeaksec จำไว้ว่ารหัสนี้ช่วยป้องกันการนำข้อมูลบัญชีที่ขโมยไปใช้ต่อ ไม่ได้หยุดการอ่านไฟล์แทนแพตช์
5. ถ้าเบราว์เซอร์ขอเปิด Telegram จากลิงก์ที่ไม่ได้คาดไว้ ให้ปฏิเสธคำขอนั้น ตามThreatWire นักวิจัยระบุว่าหน้าต่างยืนยันขึ้นอยู่กับเบราว์เซอร์และประวัติการใช้งาน จึงอย่าคิดว่าจะมีให้เห็นทุกครั้ง

ทีม IT และเจ้าของธุรกิจที่มีคอมหลายเครื่อง — ทำตามได้เลย

1. รวบรวมเครื่องที่ติดตั้ง Telegram Desktop และยืนยันรุ่นหลังอัปเดต คำแนะนำของThreatWire คืออัปเดตทุกเครื่อง สำหรับทีมเล็กอาจเริ่มจากเครื่องรับไฟล์ลูกค้าและเครื่องที่เปิดแชตค้างไว้
2. แจ้งทีมด้วยภาษาง่ายว่าเส้นทางที่ยืนยันคือการเปิดลิงก์ผ่านภายนอกแอป ตามงานวิจัย ควรอธิบายจุดนี้พร้อมคำแนะนำอัปเดต เพื่อให้คนไม่เข้าใจผิดว่าห้ามกดทุกอย่างหรือใช้ Mac แล้วรับรองว่าปลอดภัย
3. ถ้าเคยใช้รุ่นเสี่ยงและสงสัยว่าเปิดลิงก์ลักษณะนี้ ให้ยุติการใช้งานบัญชีบนเครื่องอื่นจากรายการที่เข้าสู่ระบบ แล้วตรวจแชตล่าสุดหาไฟล์ที่ไม่ได้ส่งเอง ตามThreatWire แยกการตรวจเหตุผิดปกติออกจากการยืนยันว่าโดนโจมตีแล้ว

ผมมองว่า…

ผมมองว่า เรื่องนี้ไม่ใช่การแข่งขันว่าใครจับลิงก์อันตรายได้เก่งกว่า แต่คือการลดเงื่อนไขที่ทำให้การเผลอคลิกมีผลรุนแรง งานวิจัยระบุว่าการอัปเดตเป็นสิ่งที่ปิดปัญหาจริง ส่วนการตั้งค่าอื่นลดโอกาสสัมผัสการโจมตี ตามbeaksec การให้คนทำงานจำทุกคำศัพท์จึงมีประโยชน์น้อยกว่าช่วยให้เขาตรวจรุ่นและอัปเดตได้สำเร็จ

ผมมองว่า บันทึกอัปเดตที่พูดถึงภาพแสดงผลเพียงอย่างเดียว ทำให้ผู้อ่านประเมินความเร่งด่วนได้ยาก ข้อความดังกล่าวตรวจได้จากGitHub แต่ยังไม่มีหลักฐานว่าผู้ใช้จำนวนเท่าไรอัปเดตช้าเพราะข้อความนี้ เราจึงวิจารณ์การสื่อสารได้ โดยไม่ต้องแต่งตัวเลขหรือเดาเจตนาของบริษัทครับ

ปิดท้าย: สิ่งที่ต้องจับตา

ความปลอดภัยของแชตที่ใช้ทำงาน ต้องรวมโปรแกรมบนคอมและวิธีที่มันรับลิงก์จากภายนอกด้วยครับ สิ่งที่ควรจับตาคือประกาศขอบเขตจาก Telegram และหลักฐานการใช้โจมตีจริง ซึ่งThreatWire ยังไม่มีคำยืนยันในรายงานนี้ แหล่งที่อ่านยังไม่ได้ให้วันประกาศเพิ่มเติม จึงไม่ควรกำหนดวันรอคำตอบขึ้นเอง

คอมที่คุณใช้คุยงานผ่าน Telegram วันนี้ ตรวจแล้วหรือยังว่าพ้นรุ่นก่อนแพตช์?

Recap

• เกิดอะไรขึ้น: ลิงก์จากภายนอกแอปอาจทำให้ Telegram Desktop อ่านไฟล์ส่งออกและเสี่ยงยึดบัญชีเมื่อไม่มีรหัสล็อกแอป ตามต้นทาง [1]
• รุ่นที่จำ: 7.2.9 แปลว่าควรอัปเดตเป็นรุ่นนี้หรือใหม่กว่า ตาม [1] [4]
• ใครจำกัดข้อสรุป: ThreatWire ไม่ได้ทดลองเอง และยังไม่พบรายงานการโจมตีจริงที่ทราบ ขณะที่ beaksec สาธิตผลบน Windows ตาม [1] [4]
• จุดไม่ตรงกัน: Cybernews พิมพ์รหัส CVE ต่างจากงานวิจัยและ Tenable ส่วนคะแนนต่างกันเพราะเกณฑ์คนละรุ่น ตาม [1] [2] [3] [4]
• ยังไม่รู้: ขอบเขตที่สาธิตบน macOS/Linux และการใช้โจมตีจริง ไม่มีประกาศบริษัทให้คำตอบครบในแหล่งที่อ่าน ตาม [4] [5]
• ผลต่อคุณ: คนไทยที่คุยงานหรือรับไฟล์บนคอมควรตรวจทุกเครื่อง จำกัดการเพิ่มเข้ากลุ่ม และลดดาวน์โหลดอัตโนมัติ ตามคำแนะนำ [1] [4]
• จับตาต่อ: ประกาศความปลอดภัยของ Telegram และหลักฐานการโจมตีจริง ตามช่องว่างข้อมูลใน [4]
• แหล่ง [1] beaksec: งานวิจัยต้นทาง · [2] Tenable: ข้อมูลช่องโหว่และคะแนน · [3] Cybernews: รายงานผลกระทบ · [4] ThreatWire: ข้อจำกัดและคำแนะนำ · [5] GitHub: หน้าปล่อยรุ่นแก้ไข