TeamViewer heeft een kwetsbaarheid verholpen waarbij niet de aanvaller die een sessie overneemt het gevaar vormt, maar juist de computer die wordt overgenomen. Bij een normale TeamViewer-sessie verbindt de “viewer” (de controlerende gebruiker) met de “host” (de computer die wordt overgenomen). Bij dit lek, geregistreerd als CVE-2026-111585 met een CVSS-score van 8,8, kan een kwaadaardige of gecompromitteerde host juist de viewer aanvallen zodra die verbinding maakt.
Het probleem zit in hoe viewer en host schermformaten uitwisselen. De host meldt zijn schermresolutie en de viewer reserveert op basis daarvan geheugen. Door die berekening te laten overlopen, reserveert de viewer te weinig geheugen. Schermdata die daarna binnenkomt wordt buiten de grenzen van die buffer geschreven. In het minst erge geval crasht dit simpelweg de TeamViewer-sessie van de viewer, iets wat een kwaadaardige host naar believen kan herhalen. Op Windows ging onderzoeker Omri Dar van het Israëlische bedrijf Remedio verder: hij slaagde erin de ingebouwde exploitbeveiligingen van Windows te omzeilen en daadwerkelijk code uit te voeren op de computer van de viewer. Zijn demonstratie gebruikte wel een hulpmiddel op de hostzijde om een deel van de aanvalsdata aan te leveren, dus het was niet volledig een pure netwerkaanval. Voor macOS, Linux en Android beschrijft zijn technische write-up, gepubliceerd op 29 oktober, geen vergelijkbare code-executie.
Opvallend is dat er geen extra handeling nodig is: zodra de viewer de sessie met de host accepteert, in TeamViewers standaardconfiguratie, kan de aanval beginnen. Geen wachtwoord, geen extra bevestiging.
Het lek treft de volledige TeamViewer-client op Windows, Linux en macOS, de Windows Portable-editie en de Android-app TeamViewer Remote Control, in alle versies vóór 15.83. Versie 15.82 van september dit jaar verhelpt het probleem nog niet. TeamViewers eigen bulletin (TV-2026-1011) noemt de Host-rol niet expliciet als getroffen, maar diezelfde update verhelpt twee andere kwetsbaarheden die wel de Host raken, waardoor ook Host-gebruikers wordt aangeraden bij te werken. Een los uitgebracht bulletin (TV-2026-1012) van dezelfde dag verhelpt daarnaast zes kwetsbaarheden in de Remote Management-addons, die automatisch worden bijgewerkt.
Er bestaat geen workaround; de enige oplossing is updaten naar versie 15.83 of hoger. TeamViewer zegt geen aanvallen te kennen die van dit lek gebruikmaken en het stond eind oktober niet op de KEV-lijst van CISA. Remedio meldt zelf ook geen misbruik in het wild te hebben gezien en heeft geen exploitcode vrijgegeven.
Voor Nederlandse bedrijven die TeamViewer gebruiken voor remote support is dit een reden om de update niet op de lange baan te schuiven. Automatische updates staan bij veel installaties standaard aan, maar het is de moeite waard te controleren of IT-afdelingen en helpdeskmedewerkers, die vaak als viewer met klantsystemen verbinden, al op versie 15.83 draaien.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.