diff --git a/steps/16-install-telegram.ps1 b/steps/16-install-telegram.ps1
index 86993d5..9521130 100644
--- a/steps/16-install-telegram.ps1
+++ b/steps/16-install-telegram.ps1
@@ -21,6 +21,13 @@ Section 'install-telegram' {
   if (-not $exe) { Log 'Telegram.exe not found after winget install'; return }
   Log "Telegram.exe: $exe"
 
+  # 修 ACL：winget 解 portable zip 時 'Telegram\' 內層目錄會 break inherit，
+  # 只剩 Admin/Administrators/SYSTEM，標準 token 的 User 雙擊會「沒有適當的權限」。
+  # 強制 grant BUILTIN\Users (S-1-5-32-545) RX 在整個 package 目錄（含子物件）。
+  $pkgDir = (Get-Item $exe).Directory.Parent.FullName
+  & icacls.exe $pkgDir '/grant' '*S-1-5-32-545:(OI)(CI)RX' '/T' '/C' 2>&1 |
+    Select-Object -Last 1 | ForEach-Object { Log "  icacls: $_" }
+
   # Public Desktop 捷徑（C:\Users\Public\Desktop\Telegram.lnk）
   $lnkPath = Join-Path $env:PUBLIC 'Desktop\Telegram.lnk'
   $shell = New-Object -ComObject WScript.Shell