TeamViewer, CVE-2026-111585: el host malicioso ataca al técnico

El 30 de octubre SecurityWeek, heise Security y The Hacker News informaron de una vulnerabilidad corregida por TeamViewer que invierte el modelo habitual de la asistencia remota: el equipo en riesgo no es el controlado, sino el del técnico que se conecta. La falla, CVE-2026-111585 (CVSS 8.8), es un integer overflow en el componente que procesa la pantalla remota en los clientes para Windows, macOS, Linux y Android, descubierto por la empresa de seguridad Remedio. Los detalles técnicos que siguen proceden del artículo de SecurityWeek, que cita el aviso de TeamViewer y el análisis de Remedio.

La vulnerabilidad

Según el aviso de TeamViewer, para explotarla es necesario que un usuario abra una sesión de control remoto hacia un host controlado por el atacante o comprometido. Las consecuencias van desde el cierre inesperado del programa del técnico (el viewer) hasta la ejecución de código arbitrario en su sistema.

El mecanismo, tal como lo describe Remedio:

1. al abrirse la sesión, el host comunica la geometría de su pantalla;
2. el viewer usa esas dimensiones tal cual llegan para reservar en memoria el búfer de píxeles en el que descomprime las actualizaciones de pantalla: no hay un límite máximo para los valores recibidos por la red;
3. esta superficie de decodificación solo se usa cuando la sesión no dispone de un decodificador de vídeo por hardware, pero el host puede negarse a negociar los códecs de vídeo y obligar al viewer a usarla;
4. con dimensiones imposibles para una pantalla real, por ejemplo 32.768 × 32.768 píxeles a 32 bits por píxel, el cálculo del tamaño supera los 32 bits: según Remedio, cada fila a partir de la trigésima segunda se escribe fuera de los límites del búfer.

Como el host controla tanto la superficie declarada como las actualizaciones que la llenan, puede hacer que el programa del técnico se cierre una y otra vez. Remedio subraya que basta una sesión normal, con solo los mensajes que el protocolo ya admite.

Del cierre inesperado a la ejecución de código

Remedio fue más allá de la denegación de servicio. La superficie corrompida es un objeto todavía en uso: más adelante el viewer lo llama a través de un puntero situado en su primer campo, y al sobrescribir ese puntero se desvía la llamada. En su demostración, los investigadores eludieron las protecciones existentes y dirigieron la llamada a la función de Windows WinExec, ejecutando código dentro del viewer.

Según Remedio, la superficie vulnerable es accesible en la configuración predeterminada: basta una sesión aceptada, es decir, el funcionamiento normal del producto.

En términos de MITRE ATT&CK, la explotación corresponde a T1203 (Exploitation for Client Execution); las fallas locales corregidas en la misma ronda, descritas a continuación, a T1068 (Exploitation for Privilege Escalation).

Versiones corregidas y otras fallas

• CVE-2026-111585: corregida en la versión 15.83 de los clientes de TeamViewer (Full Client, Host, Portable y Remote Control App para Android). TeamViewer también ha publicado actualizaciones de seguridad para varias versiones legacy, que SecurityWeek no enumera: consulta el aviso del fabricante para la rama que uses.
• CVE-2026-92372 (actualizaciones para macOS y Linux): escritura fuera de límites en el decodificador, por la falta de comprobación de los límites de destino. Se explota con datos de imagen de pantalla manipulados o convenciendo al usuario de abrir una grabación de sesión de TeamViewer (.tvs) preparada a propósito; requiere interacción del usuario. También en este caso se puede llegar a la ejecución de código.
• CVE-2026-92374 (macOS): condición de carrera TOCTOU con un manejo incorrecto de los enlaces simbólicos; un atacante local con pocos privilegios puede instalar un paquete malicioso y obtener privilegios de root.
• Seis vulnerabilidades de gravedad alta de escalada local de privilegios en los complementos de TeamViewer Remote Management; SecurityWeek no indica los identificadores CVE. TeamViewer recomienda actualizar tanto los clientes como estos componentes.

TeamViewer afirma no tener constancia de que ninguna de estas fallas se esté explotando. Las fuentes no aportan indicadores de compromiso.

Impacto para las empresas europeas e italianas

TeamViewer está muy extendido entre los help desks internos, los proveedores de servicios gestionados y la asistencia técnica de los fabricantes. El puesto del técnico suele ser uno de los más valiosos de la red: desde allí se llega a los equipos de compañeros y clientes, a menudo con credenciales y herramientas de administración a mano. Esta falla permite atacarlo desde el otro extremo de la conexión: desde un equipo de un cliente ya comprometido, o desde una máquina preparada a propósito a la que se convence a un técnico de conectarse, por ejemplo con una falsa solicitud de asistencia.

Para los proveedores de servicios gestionados es una cuestión de cadena de suministro, central en NIS2: un puesto de asistencia comprometido puede convertirse en el punto de partida hacia las redes de otros clientes. En la sanidad, donde los proveedores externos dan soporte remoto a menudo a sistemas clínicos y equipos, merece la misma atención.

Qué hacer ya

1. Actualiza todos los clientes de TeamViewer a la 15.83, o a la versión de seguridad prevista para tu rama legacy, empezando por los puestos del soporte técnico: son los expuestos a CVE-2026-111585.
2. Busca las copias sin control: las versiones Portable no pasan por los sistemas habituales de distribución de software y se quedan atrás con facilidad.
3. Actualiza los componentes de Remote Management junto con los clientes, como recomienda TeamViewer.
4. No cuentes con la decodificación por hardware como defensa: el host puede rechazar los códecs de vídeo y forzar la ruta vulnerable.
5. Limita las sesiones hacia hosts desconocidos hasta completar la actualización: nada de conexiones a máquinas fuera de la lista de clientes conocidos ni a petición de contactos no verificados.
6. En macOS y Linux, no abras grabaciones .tvs de origen dudoso antes de actualizar.
7. Detección: vigila los cierres repetidos de TeamViewer en los puestos de los técnicos durante una sesión y los procesos hijos inusuales iniciados por el programa TeamViewer.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete: te ayuda a encontrar los equipos con una versión de TeamViewer todavía por actualizar. ARX Sentry recoge registros, eventos de seguridad y el inventario de software y procesos de los equipos supervisados, y agrupa las ejecuciones sospechosas en las páginas del SOC.

Última actualización: 30 de octubre de 2026