TeamViewer, falla CVSS 8,8: il computer remoto può attaccare il client

🛡️ Executive Summary

• CVE-2026-111585, vulnerabilità CVSS 8,8, permette a un computer remoto malevolo di provocare crash o potenzialmente eseguire codice sul dispositivo che lo controlla.
• Il bollettino TV-2026-1011 comprende anche CVE-2026-92372, relativa al decoder delle immagini, e CVE-2026-92374, che consente un’escalation locale dei privilegi su macOS.
• TeamViewer ha pubblicato le correzioni nella serie 15.83 e negli aggiornamenti destinati alle versioni legacy ancora mantenute.

TeamViewer corregge tre vulnerabilità di sicurezza, due delle quali possono consentire l’esecuzione di codice attraverso componenti utilizzati nelle sessioni di controllo remoto. La più trasversale, CVE-2026-111585, presenta un punteggio CVSS 8,8 e introduce un rischio particolarmente delicato: un computer remoto controllato da un operatore potrebbe attaccare il sistema dal quale viene effettuato il collegamento. Il problema interessa client Windows, Linux, macOS e Android nelle versioni indicate dal produttore, mentre un’altra falla coinvolge il decoder delle immagini su Linux e macOS. Le vulnerabilità sono documentate nel bollettino TV-2026-1011, pubblicato il 27 ottobre 2026 e aggiornato il giorno successivo. TeamViewer raccomanda di installare le versioni correttive e dichiara di non essere a conoscenza di sfruttamenti attivi al momento della pubblicazione.

CVE-2026-111585 ribalta la fiducia nelle sessioni di controllo remoto

L’elemento più importante della scoperta riguarda il rapporto tra i due sistemi coinvolti in una connessione TeamViewer. Normalmente chi avvia una sessione di assistenza remota considera il computer controllato come destinatario delle proprie operazioni, ma il flusso di informazioni viaggia in entrambe le direzioni. Nel caso di CVE-2026-111585, un difetto nella gestione dei dati grafici ricevuti durante la sessione può permettere a un host malevolo di danneggiare la memoria del processo che visualizza lo schermo remoto. La vulnerabilità nasce da un integer overflow nel componente di decompressione delle immagini, con conseguente possibilità di provocare un heap-based buffer overflow. In determinate condizioni, il difetto può causare la terminazione dell’applicazione oppure consentire l’esecuzione di codice con i privilegi del processo TeamViewer sul computer dell’operatore. Il meccanismo è descritto nel bollettino ufficiale TV-2026-1011, che classifica il problema come CWE-190 e gli assegna un punteggio CVSS 3.1 di 8,8. Lo sfruttamento richiede che la vittima stabilisca una connessione di controllo remoto con un sistema già controllato dall’attaccante o precedentemente compromesso. Non si tratta quindi di un’esecuzione di codice automatica su qualunque installazione TeamViewer semplicemente connessa a Internet.

Un host compromesso può diventare il punto di ingresso verso il tecnico

Le conseguenze operative sono particolarmente importanti negli ambienti di supporto informatico, dove gli operatori si collegano quotidianamente a computer appartenenti a clienti, dipendenti o fornitori. La vulnerabilità mostra come un endpoint considerato destinatario dell’assistenza possa trasformarsi in sorgente dell’attacco, sfruttando i dati che il programma deve necessariamente elaborare per riprodurre lo schermo remoto. Un aggressore che abbia compromesso una macchina assistita potrebbe predisporre contenuti grafici malevoli e attendere una connessione da parte del personale tecnico, tentando di colpire il dispositivo utilizzato per la manutenzione. Il rischio è differente dai precedenti problemi nei meccanismi di autenticazione o nei servizi di accesso non presidiato, perché riguarda la gestione interna dei dati scambiati durante una sessione legittima. La questione si inserisce nella più ampia esposizione dei software di accesso remoto già interessati da vulnerabilità TeamViewer e Cisco, ma il nuovo difetto costituisce uno sviluppo tecnicamente distinto. L’eventuale esecuzione di codice avverrebbe con i privilegi del processo vulnerabile, senza implicare automaticamente l’acquisizione dei privilegi amministrativi dell’intero sistema. TeamViewer non ha confermato attacchi reali che abbiano sfruttato CVE-2026-111585, né il bollettino documenta compromissioni di reti aziendali riconducibili a questa specifica vulnerabilità.

Altre due falle riguardano immagini remote e privilegi macOS

Il bollettino del produttore comprende altre due vulnerabilità che ampliano l’urgenza dell’aggiornamento. CVE-2026-92372, anch’essa classificata con CVSS 8,8, interessa il decoder delle immagini presente nel Full Client di TeamViewer per Linux e macOS. Il problema è un’operazione di scrittura fuori dai limiti del buffer destinato all’immagine e può essere sfruttato inviando dati grafici appositamente costruiti durante una sessione remota. Il produttore segnala anche la possibilità di attivare la vulnerabilità inducendo l’utente ad aprire una registrazione TeamViewer in formato .tvs predisposta dall’attaccante. La seconda falla, CVE-2026-92374, presenta invece un punteggio CVSS 7,8 e interessa esclusivamente il client completo e il componente Host su macOS. Si tratta di una condizione TOCTOU, aggravata dalla gestione impropria dei collegamenti simbolici nel componente privilegiato utilizzato durante l’installazione dei pacchetti. Un attaccante locale con privilegi limitati potrebbe aggirare la verifica del pacchetto e arrivare a installare software malevolo con privilegi root. Le condizioni di attacco sono pertanto differenti: le prime due vulnerabilità interessano l’elaborazione di contenuti ricevuti da un sistema remoto, mentre la terza richiede un accesso locale iniziale e permette l’elevazione dei privilegi. Considerarle come un’unica RCE indistinta impedirebbe di comprendere correttamente il rischio associato a ciascun componente.

TeamViewer 15.83 corregge i client Windows, Linux, macOS e Android

Le correzioni sono disponibili nella famiglia TeamViewer 15.83, destinata al Full Client sui principali sistemi desktop, al componente Host, alla versione Portable per Windows e all’applicazione Remote Control per Android. Le versioni precedenti indicate dall’advisory devono essere aggiornate, prestando attenzione anche alle installazioni aziendali che utilizzano release di manutenzione. Per le piattaforme legacy il produttore mette a disposizione build specifiche, fra cui 15.64.10 per alcune installazioni Windows precedenti, 14.7.48868 e diverse release aggiornate della serie 13.2. Il controllo non deve fermarsi al numero principale della versione: negli ambienti che mantengono client datati occorre verificare la build correttiva prevista per il sistema operativo effettivamente utilizzato. TeamViewer ha inoltre pubblicato un bollettino distinto, TV-2026-1012, relativo ai componenti di Remote Management, che non deve essere confuso con le tre CVE oggetto dell’advisory principale. In Italia la rilevanza del problema è stata riconosciuta anche dal CSIRT della Regione Toscana, che riprende l’allerta nazionale e raccomanda l’installazione delle versioni aggiornate per i prodotti interessati.

Continua con:

TeamViewer bucato: è stato APT29

Aggiornare il client che controlla è importante quanto proteggere l’host

La lezione tecnica dell’advisory riguarda soprattutto la distribuzione della fiducia nelle infrastrutture di assistenza remota. Un’organizzazione può applicare criteri rigorosi per decidere chi debba collegarsi ai propri dispositivi, ma deve anche considerare il rischio che il computer controllato invii dati malevoli al client dell’operatore. La protezione non riguarda quindi soltanto i sistemi sui quali è installato TeamViewer Host: anche workstation degli amministratori, computer dei tecnici, portatili del personale di supporto e dispositivi Android utilizzati per l’assistenza devono ricevere gli aggiornamenti. Nei contesti professionali è opportuno verificare l’inventario delle installazioni, le versioni effettivamente presenti e la possibilità che utenti o fornitori continuino a utilizzare client legacy. L’assenza di sfruttamenti attivi confermati rappresenta un elemento rassicurante, ma non riduce la necessità di correggere vulnerabilità che interessano componenti di elaborazione delle immagini e gestione della memoria. TeamViewer 15.83 diventa dunque una priorità di manutenzione, soprattutto per chi apre sessioni verso computer non completamente affidabili, dove l’endpoint remoto potrebbe già essere sotto il controllo di un aggressore.