CyberSecurityAction

脆弱性情報

TelegramデスクトップのHTMLエクスポートにJavaScript隠蔽の脆弱性

チャット履歴をHTML形式でエクスポートした際に、ボットが仕込んだ隠しJavaScriptが実行され、全メッセージが外部に送信される可能性がある脆弱性が発見されました。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
TelegramデスクトップのHTMLエクスポートにJavaScript隠蔽の脆弱性

THREAT GAUGE算出基準

IMPACT（影響範囲）7.0
URGENCY（対応緊急度）6.5
EXPLOIT（悪用の容易さ）6.0

“エクスポート操作が必要だが、ボット経由で多数のユーザーに仕込める”

01 · Overview

ニュースの概要

セキュリティ研究チーム「ExPatch」は2026年9月12日、Telegramデスクトップアプリに存在する脆弱性を公開しました。悪意あるボットがチャットに送り込んだメッセージに隠しJavaScriptが埋め込まれており、ユーザーがチャット履歴をHTML形式でエクスポートしてブラウザで開くと、そのスクリプトが自動実行されてメッセージ内容が外部へ送信される可能性があります。

Telegramにはチャット履歴をHTML形式のファイルとして保存できる「エクスポート」機能があります。この機能は、会話記録を手元に残したいビジネス利用者や、グループチャットの内容を整理したいユーザーに広く使われています。

今回の脆弱性では、攻撃者が管理するボットがチャットに参加し、一見ごく普通のリンクボタン付きメッセージを送信します。Telegramアプリ上では何の異常も見られませんが、そのメッセージの内部にはJavaScriptコードが隠されています。

ユーザーがチャット履歴をHTMLとしてエクスポートし、そのファイルをWebブラウザで開いた瞬間に隠しスクリプトが起動します。スクリプトはエクスポートファイル内の全メッセージを読み取り、外部サーバーへ送信することができます。攻撃者が情報を受け取るまでユーザーはほとんど気付けません。

発見者
ExPatch（セキュリティ研究チーム）
公開日
2026年9月12日
攻撃手法
ボット経由の隠しJavaScript埋め込み
トリガー
HTMLエクスポートをブラウザで開いた時
被害内容
エクスポートファイル内の全メッセージ漏えい

情報源: The Hacker News（2026年9月14日）、ExPatchによる調査報告（2026年9月12日）

02 · Analysis

詳細な原因解説

この脆弱性の根本原因は、TelegramデスクトップがHTMLエクスポートファイルを生成する際に、メッセージ内容のサニタイズ（無害化処理）が不十分だった点にあります。本来であれば、ユーザーのメッセージに含まれるHTMLタグやJavaScriptコードは無効化されてから出力ファイルに書き込まれるべきです。しかし今回の脆弱性では、ボットが送信したメッセージに仕込まれたスクリプトがそのまま残る形でHTMLファイルに書き出されてしまっていました。

攻撃の巧みな点は「二段階の仕掛け」にあります。まずTelegramアプリ上では普通のメッセージとして表示されるため、ユーザーは何の疑いも持ちません。スクリプトが実行されるのはエクスポート後にブラウザでファイルを開いた時だけという設計は、セキュリティチェックをすり抜けやすくし、被害が発生してもアプリ側の問題とは気付かれにくいという特性があります。

日本では企業や個人がTelegramをビジネス用途で使うケースも増えており、業務上の会話をHTML形式で保存・共有・バックアップするシーンは珍しくありません。エクスポートファイルには機密性の高いビジネス上のやり取りが含まれる場合もあり、情報漏えいの影響は無視できません。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Substitute：正規機能を攻撃経路に置き換える

攻撃者はなぜ「エクスポート」という正規機能を悪用の舞台に選んだのか？

TelegramのHTMLエクスポートは公式が提供する正規機能です。攻撃者はゼロデイ脆弱性や高度なマルウェアを使わず、この「信頼された機能」を攻撃のトリガーとして置き換えました。ユーザーは「公式機能を使っているから安全」と無意識に思い込みやすく、その心理的盲点を突く手法です。セキュリティ担当者は、正規機能こそ攻撃者が狙う標的になり得ると認識する必要があります。

Combine：二段階トリガーで検知を回避

アプリ上では無害に見えるのに、なぜエクスポート後に危険になるのか？

この攻撃はアプリ内での表示（第一段階）とブラウザでのHTMLレンダリング（第二段階）という二つのコンテキストを組み合わせています。Telegramアプリはスクリプトを実行しないためアプリ上でのスキャンでは検知できず、ブラウザ側も「ローカルファイルを開いているだけ」と判断してしまいます。セキュリティツールの多くが単一コンテキストを前提に設計されているため、この組み合わせは検知の隙間に落ち込みやすい構造です。

信頼の連鎖：ボット→メッセージ→ファイル→ブラウザ

この攻撃が成立するシステム全体の「信頼の連鎖」はどこにあるか？

①Telegramがボットのメッセージ内容を一定程度信頼してHTML化する、②ユーザーがTelegramの公式エクスポートファイルを「安全なもの」として信頼する、③ブラウザがローカルHTMLファイルのスクリプトを実行する、という三段階の信頼の連鎖があって初めて攻撃が完成します。どの一段階でも適切な疑いやサニタイズが入れば防げましたが、各層が「前段が安全を保証しているはず」と互いに依存してしまっていました。

フィードバックループ：気づかれにくさが攻撃継続を助長

被害が長期化・拡大しやすい仕組みはどこにあるか？

エクスポートファイルを開いた時点でスクリプトが実行されても、ユーザーには目に見える変化がほとんどありません。情報が流出してもアラートは出ず、被害を認識するきっかけがないためユーザーは何度もエクスポートを繰り返す可能性があります。このような「フィードバックのない情報漏えい」は発見が遅れ、被害範囲が静かに拡大し続ける負のループを形成します。エクスポートファイルの取り扱いログや異常通信の監視など、外部からの観測手段が重要です。

日本組織が今すぐ取るべき具体的な防衛策

企業のIT部門は、TelegramのHTMLエクスポート機能の利用状況を把握し、業務上の必要性を改めて評価することをお勧めします。特に、エクスポートしたファイルをメール添付やクラウドストレージで共有している場合は、情報漏えいのリスクが二重に高まります。

ネットワーク監視の観点では、社内端末が見覚えのない外部サーバーへHTTPSで大量のデータを送信していないか確認することが有効です。スクリプトによる情報送信は通常の通信に紛れやすいですが、送信先ドメインや通信量の異常として検知できる場合があります。

06 · AI Prompt

AI対策プロンプト

あなたは企業のセキュリティ担当者です。以下の状況を前提に、[対象組織]の[担当者の役割]として、Telegramデスクトップのチャット履歴HTMLエクスポートに潜む隠しJavaScript実行リスクへの対応策を検討してください。 【状況】 - 対象組織の種類: [対象組織] - 担当者の役割: [担当者の役割] - Telegramの利用目的: [Telegram利用目的] - 懸念されるデータの種類: [懸念データ種別] 以下の観点で回答してください： 1. 社内でHTMLエクスポートの利用が想定される場面と対象部署の洗い出し方法 2. 即時に周知すべきことと、その伝え方（技術者向け・非技術者向けそれぞれ） 3. 根本対策として導入すべきポリシーや代替手段 4. 再発防止のためのボット管理・権限設定のベストプラクティス

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたが所属・担当する組織の種類や規模

セキュリティ対応を担う担当者の立場

組織内でTelegramを使っている主な目的

エクスポートファイルに含まれうる機密情報の種類

キーワード

  • Telegram
  • 脆弱性
  • JavaScript
  • HTMLエクスポート
  • 情報漏えい

SOURCES · 参考情報源