Se hai esportato chat da Telegram Desktop in formato HTML prima di metà luglio 2026, può valere la pena ricreare quei file dopo aver aggiornato l’app. Una vulnerabilità segnalata nell’export HTML permetteva infatti a testo controllato da un bot, inserito nei pulsanti inline, di finire nel file senza l’escaping necessario. Il codice non veniva eseguito dentro Telegram: il rischio compariva quando l’utente apriva nel browser un export HTML generato con una versione vulnerabile.
La falla è stata descritta pubblicamente il 12 settembre 2026 da Overcentral, che attribuisce la scoperta ai ricercatori Denis Rostilov e Aleksander Rostilov di ExPatch Vulnerability Research. La correzione sarebbe entrata prima nella beta 6.9.4 e poi nella versione stabile Telegram Desktop 7.0.1 del 14 luglio 2026. Il changelog ufficiale di Telegram Desktop conferma la data di rilascio della 7.0.1.
Qual è il rischio negli export HTML di Telegram
Telegram Desktop consente di salvare la cronologia di una chat in formato HTML per consultarla offline in un normale browser. Proprio il passaggio dal client al browser è il punto importante: un contenuto che nell’interfaccia di Telegram viene mostrato come semplice testo può diventare pericoloso se viene scritto dentro una pagina HTML senza essere codificato correttamente.
Secondo la ricostruzione dei ricercatori, il campo problematico era il testo dei pulsanti inline associati ai messaggi dei bot. Un attaccante poteva preparare un messaggio con contenuto costruito appositamente. Dentro Telegram il pulsante appariva normalmente; esportando però la chat con una versione vulnerabile, il contenuto poteva finire nell’HTML e diventare JavaScript eseguibile al momento dell’apertura nel browser.
Non basta ricevere il messaggio: servono più passaggi
È importante non trasformare il problema in un allarme più ampio di quanto sia. Ricevere o leggere un messaggio su Telegram non era sufficiente, da solo, per attivare questo scenario. La catena descritta richiedeva che il messaggio malevolo fosse presente nella cronologia, che l’utente esportasse quella chat in HTML usando una versione vulnerabile di Telegram Desktop e che aprisse poi il file generato in un browser.
Il rischio riguardava quindi soprattutto chi usa l’export per backup locali, archivi aziendali, documentazione o analisi offline delle conversazioni. Non equivale a dire che tutte le chat Telegram siano state compromesse o che basti aprire l’app per subire l’attacco.
Perché i vecchi file HTML restano il punto da controllare
La parte più concreta per gli utenti è che aggiornare Telegram Desktop non modifica retroattivamente i file HTML già salvati sul disco. Se un export era stato generato da una versione vulnerabile e conteneva un payload malevolo, quel file rimane un documento HTML autonomo: il browser continuerà a interpretarne il contenuto così com’è.
Per questo la misura prudente è semplice: se conservi vecchi export HTML creati prima della correzione, aggiorna Telegram Desktop e genera nuovamente gli archivi che ti servono. Solo dopo aver verificato che il nuovo export sia completo puoi eliminare o mettere in quarantena le vecchie copie.
Quale versione di Telegram Desktop usare
La versione stabile indicata come corretta è Telegram Desktop 7.0.1, rilasciata il 14 luglio 2026, o qualsiasi versione successiva. A settembre il ramo Desktop è già molto più avanti, quindi un’installazione regolarmente aggiornata non dovrebbe fermarsi a quella release.
Per controllare la versione apri Telegram Desktop, entra nelle impostazioni e verifica le informazioni sull’app. Se stai usando un pacchetto distribuito dal sistema operativo, aggiorna attraverso il canale ufficiale previsto dalla tua piattaforma; se usi il pacchetto scaricato direttamente da Telegram, usa il meccanismo di aggiornamento integrato o il sito ufficiale.
Cosa fare se hai vecchi export HTML
- Aggiorna Telegram Desktop almeno alla 7.0.1, meglio ancora all’ultima versione stabile disponibile.
- Individua gli export HTML creati prima del 14 luglio 2026, soprattutto quelli provenienti da gruppi o chat con bot e pulsanti inline.
- Non aprire inutilmente i vecchi file nel browser mentre stai facendo il controllo.
- Ricrea gli export dalla versione aggiornata di Telegram Desktop.
- Verifica che messaggi e media necessari siano presenti nel nuovo archivio prima di eliminare la copia precedente.
HTML o JSON: cambia qualcosa per questo problema?
La vulnerabilità descritta riguarda la generazione e successiva apertura dell’HTML, cioè un formato che il browser interpreta come una pagina web. Un export JSON è invece un file strutturato pensato soprattutto per essere letto da software e script, non renderizzato direttamente come pagina.
Questo non significa che un JSON possa essere trattato senza cautele quando viene importato in strumenti di terze parti: ogni applicazione che trasforma dati controllati da utenti in HTML deve comunque sanificarli correttamente. Nel caso specifico segnalato per Telegram Desktop, però, l’attenzione è sugli archivi HTML creati dalle versioni vulnerabili.
Il file può rubare tutte le chat di Telegram?
La formulazione corretta è più limitata. Il JavaScript eseguito nel browser può leggere ciò che la pagina HTML esportata contiene e manipolare il contesto di quel documento. Non va automaticamente interpretato come accesso diretto all’intero account Telegram o a tutte le conversazioni cloud. L’impatto concreto dipende da cosa è stato incluso nell’export e da ciò che lo script riesce a fare nel contesto locale del browser.
È una distinzione importante anche per non confondere questa vulnerabilità con malware che imitano Telegram. In passato abbiamo seguito, per esempio, FireScam, malware Android mascherato da Telegram Premium, e la falla EvilVideo su Telegram per Android: sono scenari differenti, con vettori d’attacco e contromisure diverse.
C’è un CVE per la vulnerabilità?
Alla pubblicazione della ricostruzione del 12 settembre non risultava indicato un CVE specifico per questo bug dell’export HTML, né un advisory dedicato di Telegram facilmente consultabile. Per questo è più corretto parlare di vulnerabilità segnalata e corretta invece di attribuirle un identificativo non confermato.
La regola pratica
Se non hai mai esportato chat Telegram in HTML, questa falla specifica non richiede operazioni particolari oltre a mantenere aggiornato il client. Se invece conservi export HTML più vecchi, aggiorna Telegram Desktop e ricrea gli archivi generati prima del 14 luglio 2026. È il modo più semplice per evitare che un vecchio file continui a conservare contenuto HTML prodotto dal codice vulnerabile.
