TeamViewer heeft een lek opgelost waardoor de computer die op afstand wordt bestuurd in een sessie de computer die verbinding maakte om te besturen kan aanvallen. In een TeamViewer-sessie is de computer die verbinding maakt en controle overneemt de viewer, en de machine die gecontroleerd wordt de host.
Een kwaadaardige of gecompromitteerde host kan het lek misbruiken om de TeamViewer van de viewer te laten crashen en, afhankelijk van het platform, mogelijk ook code uit te voeren op de computer van de viewer. Dit werkt alleen nadat de gebruiker een externe-controllersessie naar die host is gestart. De oplossing zit in TeamViewer versie 15.83.
Het lek wordt geregistreerd als CVE-2026-111585 en kreeg een score van 8,8 op 10, wat in het hoge bereik valt. Het treft de TeamViewer Full Client op Windows, Linux en macOS, de Windows Portable-editie en de Android Remote Control-app, in alle versies vóór 15.83.
In verband met dit lek noemt TeamViewer in zijn bulletin de Full Client, Portable en Android-app, maar niet de Host. Dezelfde 15.83-update verhelpt echter ook twee andere problemen in dat bulletin die wél de Host raken, dus mensen die de Host draaien moeten ook updaten.
Omri Dar, een onderzoeker bij beveiligingsbedrijf Remedio, publiceerde op 29 oktober een technische beschrijving van het lek. In deze bug schreef hij: “de aanvaller is de host en het slachtoffer is de viewer.”
In een externe sessie vertelt de host de viewer hoe groot zijn schermbeeld is. De viewer gebruikt die grootte om geheugen te reserveren, maar de berekening kan overlopen en te weinig reserveren. Schermdata die daarna binnenkomt wordt vervolgens voorbij het einde van die ruimte geschreven.
Minimaal leidt dit ertoe dat de TeamViewer-sessie van de viewer crasht, en de host kan de crash telkens opnieuw veroorzaken wanneer hij dat wil.
Op Windows heeft Remedio volgens eigen zeggen de bug verder uitgebouwd, waarbij de ingebouwde exploit-verdedigingsmechanismen van het besturingssysteem werden omzeild en naar keuze code op de viewer werd uitgevoerd. De demonstratie gebruikte een tussenpersoon op de host om een deel van de aanvaldata te leveren, dus het is nog geen aanval die volledig over het netwerk wordt uitgevoerd.
Dat resultaat werd alleen op Windows getoond. Of hetzelfde op macOS, Linux of Android werkt, wordt in de beschrijving niet behandeld. TeamViewer zegt alleen dat code-uitvoering mogelijk is, afhankelijk van het platform.
De aanval vereist geen wachtwoord en geen extra klik behalve het accepteren van de sessie, en werkt in de standaardconfiguratie van TeamViewer, schreef Dar. Het lek treft alle versies vóór 15.83, inclusief 15.82, de beveiligingsupdate die TeamViewer in september uitbracht. Updaten vorige maand verwijderde het probleem niet.
Wat te doen
De enige oplossing die TeamViewer aanbiedt is updaten, en er wordt geen workaround genoemd. Huidige gebruikers moeten naar 15.83 of later upgraden. De gefixte builds voor oudere ondersteunde branches staan in de tabel hierboven.
Dezelfde 15.83-update verhelpt ook twee andere fouten met hoge ernst in hetzelfde bulletin, waaronder een aparte code-uitvoeringsfout die Linux en macOS raakt. Een begeleidend bulletin op dezelfde dag, TV-2026-1012, repareert nog eens zes andere lekken in TeamViewer’s Remote Management-add-ons, geleverd via automatische update.
TeamViewer liet weten dat toen de fix werd gepubliceerd het geen kennis had van enige aanvallen die het lek misbruikten. De kwetsbaarheid staat per de publicatie op 29 oktober niet in de Known Exploited Vulnerabilities-catalogus van CISA. Remedio meldde geen aanvallen in het wild en bracht geen exploitcode naar buiten.
