В TeamViewer исправили уязвимость CVE-2026-111585 с оценкой серьёзности 8,8 из 10. Она позволяет компьютеру, которым управляют в удалённом сеансе, атаковать устройство подключившегося пользователя. В зависимости от платформы результатом может стать аварийное завершение TeamViewer, а потенциально и выполнение кода на компьютере жертвы.
В удалённом сеансе компьютер, который подключается и управляет другим, называется viewer, а управляемый компьютер — host. Host сообщает viewer размер изображения своего экрана, после чего программа выделяет память для его обработки. Из-за переполнения при расчёте объёма памяти viewer может зарезервировать слишком мало места. Полученные затем данные экрана способны выйти за границы выделенной области.
Как минимум такая ошибка может привести к сбою TeamViewer на компьютере viewer. Host может повторять атаку при каждом новом сеансе. По словам исследователя Омри Дара из компании Remedio, для этого достаточно, чтобы пользователь подключился к host и принял сеанс: пароль не нужен, дополнительных нажатий не требуется, уязвимость работает при стандартных настройках TeamViewer.
Дар опубликовал техническое описание 29 октября и сформулировал роли участников так: «Атакующий — это host, а жертва — viewer». Remedio сообщила, что на Windows ей удалось обойти встроенные средства защиты от эксплуатации уязвимостей и выполнить на компьютере viewer произвольный код. При этом в демонстрации часть данных для атаки предоставляла вспомогательная программа на host, поэтому это не была атака, целиком проведённая по сети.
Выполнение кода показали только на Windows. Описание Remedio не устанавливает, сработает ли такой сценарий на macOS, Linux или Android. TeamViewer предупреждает, что выполнение кода может быть возможно в зависимости от платформы; для других систем подтверждённым последствием остаётся возможность сбоя.
Уязвимость затрагивает все версии ниже 15.83 у TeamViewer Full Client для Windows, Linux и macOS, TeamViewer Portable для Windows и приложения TeamViewer Remote Control для Android. Она есть и в версии 15.82, выпущенной как обновление безопасности в сентябре: установка этой версии проблему не устраняет.
В бюллетене TeamViewer перечислены Full Client, Portable и приложение для Android, но не Host. Тем не менее обновление 15.83 исправляет также две другие уязвимости из того же бюллетеня, которые затрагивают Host, поэтому пользователям этой версии программы тоже следует установить обновление.
Обходного решения TeamViewer не предлагает: нужно перейти на версию 15.83 или новее. В описании также упоминаются исправленные сборки для более старых поддерживаемых веток, но их номера в предоставленных данных не указаны. В том же выпуске 15.83 компания устранила ещё две уязвимости высокой серьёзности, включая отдельную ошибку выполнения кода в Linux и macOS.
В дополнительном бюллетене TV-2026-1012, опубликованном в тот же день, TeamViewer сообщила об исправлении ещё шести уязвимостей в дополнениях Remote Management. Эти дополнения обновляются автоматически. На момент публикации исправления компания не знала об атаках с использованием CVE-2026-111585; Remedio также не сообщала об атаках в реальных условиях и не публиковала код эксплойта. По состоянию на 29 октября уязвимости не было в каталоге известных эксплуатируемых уязвимостей CISA — KEV.
Изображение носит иллюстративный характер
В удалённом сеансе компьютер, который подключается и управляет другим, называется viewer, а управляемый компьютер — host. Host сообщает viewer размер изображения своего экрана, после чего программа выделяет память для его обработки. Из-за переполнения при расчёте объёма памяти viewer может зарезервировать слишком мало места. Полученные затем данные экрана способны выйти за границы выделенной области.
Как минимум такая ошибка может привести к сбою TeamViewer на компьютере viewer. Host может повторять атаку при каждом новом сеансе. По словам исследователя Омри Дара из компании Remedio, для этого достаточно, чтобы пользователь подключился к host и принял сеанс: пароль не нужен, дополнительных нажатий не требуется, уязвимость работает при стандартных настройках TeamViewer.
Дар опубликовал техническое описание 29 октября и сформулировал роли участников так: «Атакующий — это host, а жертва — viewer». Remedio сообщила, что на Windows ей удалось обойти встроенные средства защиты от эксплуатации уязвимостей и выполнить на компьютере viewer произвольный код. При этом в демонстрации часть данных для атаки предоставляла вспомогательная программа на host, поэтому это не была атака, целиком проведённая по сети.
Выполнение кода показали только на Windows. Описание Remedio не устанавливает, сработает ли такой сценарий на macOS, Linux или Android. TeamViewer предупреждает, что выполнение кода может быть возможно в зависимости от платформы; для других систем подтверждённым последствием остаётся возможность сбоя.
Уязвимость затрагивает все версии ниже 15.83 у TeamViewer Full Client для Windows, Linux и macOS, TeamViewer Portable для Windows и приложения TeamViewer Remote Control для Android. Она есть и в версии 15.82, выпущенной как обновление безопасности в сентябре: установка этой версии проблему не устраняет.
В бюллетене TeamViewer перечислены Full Client, Portable и приложение для Android, но не Host. Тем не менее обновление 15.83 исправляет также две другие уязвимости из того же бюллетеня, которые затрагивают Host, поэтому пользователям этой версии программы тоже следует установить обновление.
Обходного решения TeamViewer не предлагает: нужно перейти на версию 15.83 или новее. В описании также упоминаются исправленные сборки для более старых поддерживаемых веток, но их номера в предоставленных данных не указаны. В том же выпуске 15.83 компания устранила ещё две уязвимости высокой серьёзности, включая отдельную ошибку выполнения кода в Linux и macOS.
В дополнительном бюллетене TV-2026-1012, опубликованном в тот же день, TeamViewer сообщила об исправлении ещё шести уязвимостей в дополнениях Remote Management. Эти дополнения обновляются автоматически. На момент публикации исправления компания не знала об атаках с использованием CVE-2026-111585; Remedio также не сообщала об атаках в реальных условиях и не публиковала код эксплойта. По состоянию на 29 октября уязвимости не было в каталоге известных эксплуатируемых уязвимостей CISA — KEV.
