TeamViewer, CVE-2026-111585: l’host malevolo attacca il tecnico

Il 30 ottobre SecurityWeek, heise Security e The Hacker News hanno dato notizia di una vulnerabilità corretta da TeamViewer che rovescia il modello abituale dell’assistenza remota: a rischio non è il computer controllato, ma quello del tecnico che si collega. La falla, CVE-2026-111585 (CVSS 8.8), è un integer overflow nel componente che elabora lo schermo remoto nei client per Windows, macOS, Linux e Android, scoperto dalla società di sicurezza Remedio. I dettagli tecnici riportati di seguito vengono dall’articolo di SecurityWeek, che cita l’avviso di TeamViewer e l’analisi di Remedio.

La vulnerabilità

Secondo l’avviso di TeamViewer, per sfruttarla serve che un utente apra una sessione di controllo remoto verso un host controllato dall’attaccante o compromesso. Le conseguenze vanno dal crash del programma del tecnico (il viewer) fino all’esecuzione di codice arbitrario sul suo sistema.

Il meccanismo, come lo descrive Remedio:

1. all’apertura della sessione l’host comunica la geometria del proprio schermo;
2. il viewer usa quelle dimensioni così come arrivano per allocare in memoria il buffer dei pixel in cui decomprime gli aggiornamenti dello schermo: non c’è un limite massimo ai valori ricevuti dalla rete;
3. questa superficie di decodifica entra in gioco solo quando per la sessione non è disponibile un decoder video hardware, ma l’host può rifiutarsi di negoziare i codec video e costringere il viewer a usarla;
4. con dimensioni impossibili per uno schermo reale, per esempio 32.768 × 32.768 pixel a 32 bit per pixel, il calcolo della dimensione supera i 32 bit: secondo Remedio, ogni riga oltre la trentunesima viene scritta fuori dai limiti del buffer.

Poiché l’host controlla sia la superficie dichiarata sia gli aggiornamenti che la riempiono, può far chiudere di continuo il programma del tecnico. Remedio sottolinea che per farlo basta una sessione ordinaria, con i soli messaggi già previsti dal protocollo.

Dal crash all’esecuzione di codice

Remedio è andata oltre il denial of service. La superficie corrotta è un oggetto ancora in uso: più avanti il viewer lo richiama attraverso un puntatore che si trova nel suo primo campo, e sovrascrivendo quel puntatore si devia la chiamata. Nella dimostrazione i ricercatori hanno aggirato le protezioni esistenti e indirizzato la chiamata alla funzione di Windows WinExec, eseguendo codice nel viewer.

Secondo Remedio la superficie vulnerabile è raggiungibile nella configurazione predefinita: basta una sessione accettata, cioè il normale funzionamento del prodotto.

In termini MITRE ATT&CK lo sfruttamento rientra in T1203 (Exploitation for Client Execution); le falle locali corrette nello stesso ciclo, descritte di seguito, in T1068 (Exploitation for Privilege Escalation).

Versioni corrette e altre falle

• CVE-2026-111585: corretta nella versione 15.83 dei client TeamViewer (Full Client, Host, Portable e Remote Control App per Android). TeamViewer ha pubblicato aggiornamenti di sicurezza anche per diverse versioni legacy, che SecurityWeek non elenca: controlla l’avviso del produttore per il ramo che usi.
• CVE-2026-92372 (aggiornamenti per macOS e Linux): scrittura fuori dai limiti nel decoder, per la mancanza di controlli sui limiti di destinazione. Si sfrutta con dati di immagine dello schermo manipolati o convincendo l’utente ad aprire una registrazione di sessione TeamViewer (.tvs) preparata ad arte; serve un’interazione dell’utente. Anche in questo caso si può arrivare all’esecuzione di codice.
• CVE-2026-92374 (macOS): race condition TOCTOU con gestione errata dei collegamenti simbolici; un attaccante locale con pochi privilegi può installare un pacchetto malevolo e ottenere i privilegi di root.
• Sei vulnerabilità ad alta gravità di elevazione locale dei privilegi nei componenti aggiuntivi di TeamViewer Remote Management; SecurityWeek non riporta i codici CVE. TeamViewer raccomanda di aggiornare sia i client sia questi componenti.

TeamViewer dichiara di non essere a conoscenza di sfruttamenti in corso di nessuna di queste falle. Le fonti non riportano indicatori di compromissione.

Impatto per le aziende europee e italiane

TeamViewer è molto diffuso tra help desk interni, fornitori di servizi gestiti e assistenza tecnica dei produttori. La postazione del tecnico è in genere tra le più preziose della rete: da lì si raggiungono i computer di colleghi e clienti, spesso con credenziali e strumenti amministrativi a portata di mano. Questa falla permette di colpirla dall’altro capo della connessione: da un computer di un cliente già compromesso, oppure da una macchina preparata apposta verso cui un tecnico viene convinto a collegarsi, per esempio con una falsa richiesta di assistenza.

Per i fornitori di servizi gestiti è un tema di catena di fornitura, centrale per NIS2: una postazione di assistenza compromessa può diventare il punto di partenza verso le reti di altri clienti. Nella sanità, dove i fornitori esterni assistono spesso da remoto sistemi clinici e apparecchiature, vale la stessa attenzione.

Cosa fare subito

1. Aggiorna tutti i client TeamViewer alla 15.83, o alla versione di sicurezza prevista per il tuo ramo legacy, a partire dalle postazioni del supporto tecnico: sono quelle esposte a CVE-2026-111585.
2. Cerca le copie fuori controllo: le versioni Portable non passano dai normali sistemi di distribuzione del software e restano facilmente indietro.
3. Aggiorna i componenti di Remote Management insieme ai client, come raccomanda TeamViewer.
4. Non contare sulla decodifica hardware come difesa: l’host può rifiutare i codec video e forzare il percorso vulnerabile.
5. Limita le sessioni verso host sconosciuti finché l’aggiornamento non è completo: niente collegamenti verso macchine fuori dall’elenco dei clienti noti o su richiesta di contatti non verificati.
6. Su macOS e Linux non aprire registrazioni .tvs di provenienza incerta prima di aver aggiornato.
7. Rilevamento: tieni d’occhio i crash ripetuti di TeamViewer sulle postazioni dei tecnici durante una sessione e i processi figli insoliti avviati dal programma TeamViewer.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto: aiuta a trovare i computer con una versione di TeamViewer ancora da aggiornare. ARX Sentry raccoglie log, eventi di sicurezza e l’inventario di software e processi dei computer monitorati e raggruppa le esecuzioni sospette nelle pagine del SOC.

Ultimo aggiornamento: 30 ottobre 2026