Telegram biedt gebruikers de optie om berichten te versturen die zichzelf na een bepaalde tijd bij zowel de afzender als ontvanger vernietigen, maar op deze manier verstuurde media, documenten en gedeelde locaties blijven toegankelijk voor gebruikers, zo meldt securitybedrijf Trustwave in een analyse.

In het geval van de macOS-versie bleek dat Telegram de "vernietigde" media in de cache-directory achterliet, waar het door de gebruiker kon worden bekeken. Onderzoeker Reegun Jayapaul rapporteerde de kwetsbaarheid aan Telegram dat in de vorm van Telegram versie 7.8.1 met een update kwam die ervoor zorgt dat mediabestanden wel uit de cache-directory worden verwijderd.

Desondanks is het nog steeds mogelijk voor gebruikers om verstuurde media te kopiëren, ontdekte Jayapaul. Wanneer iemand een zelfvernietigend bericht stuurt moet de ontvanger die niet binnen de app openen, maar naar de cache-directory gaan. Daar zijn de betreffende bestanden te kopiëren. Ook kan de ontvanger het bericht uit de directory verwijderen zonder ze in de Telegram-app te lezen. Zo weet de afzender niet of de ontvanger het bericht heeft gelezen en heeft de ontvanger een kopie van de verstuurde media.

Telegram heeft besloten voor dit scenario geen beveiligingsupdate uit te rollen. Volgens de chatapp is het doel van de zelfvernietigingsoptie om berichten op eenvoudige wijze te verwijderen en zijn er manieren om dat te omzeilen op manieren waarop de Telegram-app geen controle heeft, zoals het kopiëren van de app-directory. Telegram stelt verder dat het gebruikers hier nadrukkelijk voor waarschuwt.