TeamViewer: Präparierter Host kann Rechner des Supporters übernehmen
Remedio hat Details zur TeamViewer-Lücke CVE-2026-111585 veröffentlicht: Ein präparierter oder kompromittierter Host kann über einen Ganzzahlüberlauf den Viewer zum Absturz bringen und unter Windows Code ausführen. Version 15.83 behebt das Problem. Was Supportteams jetzt prüfen sollten.
Das Sicherheitsunternehmen Remedio hat am 29. Oktober 2026 technische Details zur TeamViewer-Lücke CVE-2026-111585 veröffentlicht und dabei Codeausführung auf dem Rechner des Supporters demonstriert. Der Angriff läuft umgekehrt zur üblichen Richtung: Nicht der Techniker greift das ferngesteuerte Gerät an, sondern ein bösartiger oder kompromittierter Host den Viewer, der sich zu ihm verbindet. TeamViewer hatte die Lücke bereits am 27. Oktober mit Version 15.83 geschlossen.
Betroffen sind vor allem IT-Abteilungen und Supportteams, die sich mit TeamViewer auf fremde oder nicht vertrauenswürdige Rechner verbinden. Wer TeamViewer nur als Host auf eigenen Geräten betreibt, ist von dieser Lücke laut Bulletin nicht erfasst, sollte wegen weiterer Fixes im selben Update aber ebenfalls aktualisieren. Mit der öffentlichen Analyse sinkt die Hürde für Nachahmer, das Update gehört daher nicht ins nächste Wartungsfenster.
Was ist passiert?
Zu Beginn einer Sitzung teilt der Host dem Viewer mit, wie groß sein Bildschirm ist. Der Viewer reserviert anhand von Breite, Höhe und Farbtiefe Speicher für die eingehenden Bildschirmdaten. Nach Remedio wird diese Größe ohne Obergrenze übernommen und in 32 Bit berechnet. Ein Host kann so einen Überlauf erzwingen, der Viewer reserviert zu wenig Speicher, und nachfolgende Bilddaten werden über das Pufferende hinaus geschrieben.
Dieser Decodierpfad wird laut Remedio genutzt, wenn kein Hardware-Videodecoder für die Sitzung verfügbar ist. Ein Host kann die Aushandlung der Videocodecs jedoch verweigern und den Viewer so auf diesen Pfad zwingen. Im einfachsten Fall stürzt TeamViewer beim Viewer ab, und zwar beliebig oft. Unter Windows umging Remedio zusätzlich Control Flow Guard und DEP und startete eigenen Code. Für die Demonstration ersetzte ein Hook auf dem Host einen Teil der Angriffsdaten; ein vollständig über das Netzwerk geführter Angriff ist damit noch nicht gezeigt.
Wer ist betroffen?
Das TeamViewer-Bulletin TV-2026-1011 nennt für CVE-2026-111585 den Full Client inklusive Portable-Version vor 15.83 unter Windows, Linux und macOS, die Android-App Remote Control vor 15.83 sowie die Legacy-Zweige 15.64 (Windows), 14.7 und 13.2. Die korrigierten Legacy-Builds sind unter anderem 15.64.10 und 14.7.48868. Remedio weist darauf hin, dass auch 15.82, das Sicherheitsupdate vom September, noch anfällig ist.
Wie kritisch ist das?
TeamViewer bewertet die Lücke mit CVSS 8.8 (hoch). Nach Remedio reicht es, eine Sitzung zu einem präparierten Host aufzubauen; Passwort oder weitere Klicks seien nicht nötig, die Standardkonfiguration genügt. Codeausführung ist bislang nur unter Windows belegt, TeamViewer spricht plattformabhängig von möglicher Codeausführung. Angriffe in freier Wildbahn sind TeamViewer nach eigener Aussage nicht bekannt. Dasselbe Update schließt unter Linux und macOS die ebenfalls mit 8.8 bewertete Lücke CVE-2026-92372 sowie unter macOS die Rechteausweitung CVE-2026-92374.
Was sollten Admins jetzt tun?
- Inventar prüfen: Auf welchen Supporter-Arbeitsplätzen laufen Full Client, Portable oder die Android-App, und in welcher Version?
- Auf 15.83 oder neuer aktualisieren, Legacy-Installationen auf die im Bulletin genannten Builds. Einen Workaround nennt TeamViewer nicht.
- Portable-Versionen auf USB-Sticks und in Werkzeugordnern gezielt ersetzen, da sie sich nicht zentral aktualisieren.
- Hosts und Remote-Management-Add-ons ebenfalls aktualisieren, weil das parallele Bulletin TV-2026-1012 sechs Rechteausweitungen in diesen Komponenten behebt.
- Verbindungen zu unbekannten Rechnern bis zum Update möglichst vermeiden und unerwartete Abstürze des Viewers während Sitzungen melden lassen.
Einordnung für Unternehmen
Supporter-Rechner gelten oft als vertrauenswürdige Seite einer Fernwartung und haben weitreichende Rechte im eigenen Netz. Die Analyse zeigt, dass gerade sie über die Gegenstelle angreifbar sind, etwa bei Kundensupport für Externe oder bei Hilfe auf einem bereits kompromittierten Gerät. Supportarbeitsplätze sollten daher wie exponierte Systeme behandelt werden: zeitnahe Updates, eingeschränkte Rechte und Trennung von Administratorkonten. Abzugrenzen ist der Fall vom Update 15.82 im September (S-EDV berichtete).
Passende Anleitungen auf S-EDV
- RustDesk auf Synology als Fernwartung und TeamViewer-Alternative
- PatchMon mit Docker Compose für Linux-Patchmanagement
- GLPI auf Synology für Helpdesk und IT-Asset-Management
