Een TeamViewer kwetsbaarheid met hoge ernst kan aanvallers in staat stellen om een systeem van een IT-supporttechnicus over te nemen of de applicatie herhaaldelijk te laten crashen. Beveiligingsbedrijf Remedio waarschuwt dat de fout niet nodig heeft dat de aanvaller direct toegang heeft tot het toestel: een geautoriseerde remote-control sessie kan al voldoende zijn.
De kwetsbaarheid is geregistreerd als CVE-2026-111585 en heeft een CVSS-score van 8,8. TeamViewer heeft patches uitgebracht, waaronder voor versie 15.83 en updates voor meerdere oudere varianten.
Wat is er precies mis bij de TeamViewer kwetsbaarheid?
Volgens Remedio draait het probleem om een integer overflow in het onderdeel dat de remote-control schermweergave verwerkt. De fout zit bij het verwerken van schermdimensies en het vervolgens aanmaken van een interne pixelbuffer in het geheugen.
Concreet werkt het pad zo: de host (het systeem van waaruit de sessie wordt gestuurd) meldt de schermgeometrie, waarna de viewer de ontvangen waarden gebruikt om een buffer te dimensioneren. Remedio stelt dat er geen harde bovengrens zit op wat er via het netwerk binnenkomt.
Waarom kan een aanvaller hiermee crashes triggeren?
Een host kan vragen om een oppervlak dat theoretisch veel groter is dan wat een echt scherm aankan. Remedio illustreert dit met een voorbeeld van 32768 × 32768 pixels met een bepaalde bits-per-pixel waarde. Door de manier waarop de berekening omrekent, treedt een overflow op waardoor schrijfoperaties buiten de bedoelde geheugenruimte kunnen vallen.
Het resultaat: de viewer kan in een normale sessie herhaaldelijk crashen. Remedio beschrijft dat dit mogelijk is vanaf een host die door de aanvaller wordt aangestuurd of is gecompromitteerd.
Kan de TeamViewer kwetsbaarheid ook echte code-uitvoering geven?
Ja. Naast denial-of-service (DoS) ontdekte Remedio een route naar arbitraire code-uitvoering op het systeem van de viewer.
Remedio legt uit dat de foutieve (corrupted) surface een live object is dat de viewer later via een pointer in een eigen veld aanspreekt. Door de pointer te overschrijven, kan de uitvoering omgeleid worden naar een functie die uiteindelijk code start. In de beschrijving wordt specifiek genoemd dat Remedio hiermee naar WinExec kon route-injecteren om code uit te voeren.
TeamViewer benadrukt daarbij dat de relevante datastructuur bereikbaar is in de standaardconfiguratie. Met andere woorden: een geaccepteerde sessie is in de normale gebruiksmodus voldoende om het pad te bereiken.
Vereiste voorwaarden: wat moet er gebeuren voordat een aanval werkt?
TeamViewer geeft aan dat uitbuiting vergt dat een gebruiker zelf een remote-control sessie start of toestaat richting een host die door de aanvaller wordt gecontroleerd (of waarvan de aanvaller misbruik kan maken).
Dat betekent dat het risico vooral speelt in scenario’s waarin helpdesk- en supportstromen worden gebruikt, bijvoorbeeld bij verdachte samenwerkingen, verkeerde sessies of gecompromitteerde gesprekspartners.
Welke versies moeten worden gepatcht?
TeamViewer stelt dat versie 15.83 de benodigde updates bevat voor de getroffen clients, waaronder de Full Client, Host, Portable en de Remote Control App voor Android.
Daarnaast heeft TeamViewer ook security updates uitgebracht voor meerdere legacy versies. Als je binnen je organisatie nog met oudere builds werkt, is het extra belangrijk om te valideren welke variant precies draait en of die ook is meegenomen.
Extra beveiligingsissues in macOS en Linux
De updates voor macOS en Linux lossen niet alleen CVE-2026-111585 op. Het gaat ook om CVE-2026-92372, een kwetsbaarheid met out-of-bounds write-achtige gevolgen.
TeamViewer beschrijft dat de decoder ontbrekende bounds-checking heeft. Een aanvaller kan dan met geconstrueerde schermbeelddata een out-of-bounds write veroorzaken in het afbeeldingsbuffer. Ook hier geldt: uitbuiting vereist wel gebruikersinteractie.
macOS: ook TOCTOU en root-implicaties
Op macOS worden tevens CVE-2026-92374 opgelost. Dat gaat om een time-of-check-to-time-of-use (TOCTOU) race condition met fouten in de manier waarop symbolische links worden afgehandeld. In de beschrijving staat dat een laag-geprivilegieerde lokale aanvaller een kwaadaardig pakket kan installeren en daarmee root privileges kan behalen.
Lokale escalatie in remote management add-ons
Naast problemen in de hoofdclient meldt TeamViewer dat er zes high-severity lokale privilege escalation kwetsbaarheden zitten in TeamViewer Remote Management add-ons. Het advies is om niet alleen de client te updaten, maar ook de componenten/add-ons mee te nemen naar de nieuwste versies.
Is er al misbruik in het wild?
TeamViewer geeft aan dat het geen indicaties heeft van misbruik in het wild voor deze kwetsbaarheden. Dat ontslaat organisaties echter niet van actie: bij remote-support tooling kan een eenmaal fout gebruikte sessie alsnog snel schade veroorzaken.
Wat kun je nu doen in je organisatie?
Als je TeamViewer gebruikt voor support, remote beheer of helpdesk-processen, volg dan deze praktische stappen.
- Update onmiddellijk naar versie 15.83 of de daarvoor bedoelde patched builds voor jouw platform.
- Check legacy installaties binnen je beheeromgeving: oudere TeamViewer-versies moeten ook gepatcht worden.
- Controleer ook add-ons voor Remote Management en update die naar de laatste versies.
- Beperk risico via proces: zorg dat alleen geverifieerde sessies worden gestart met bekende tegenpartijen.
- Monitor op afwijkingen: ongebruikelijke crash-patronen tijdens sessies of onverwachte activiteit kunnen signalen zijn.
Wil je breder kijken naar het belang van snelle patching en het beperken van aanvalsvlakken? Lees dan ook ons artikel over focus op firewall-issues en vijf kritieke risico’s, waarin we ingaan op wat je kunt doen om externe aanvalspaden te verkleinen.
Daarnaast kan het helpen om de context van remote-access risico’s te plaatsen naast andere recente kwetsbaarheden. Zie bijvoorbeeld hoe logic bugs de Microsoft Edge sandbox konden doorbreken, omdat dit soort fouten laat zien hoe snel beschermingslagen toch omzeild kunnen worden.
Conclusie
De TeamViewer kwetsbaarheid (CVE-2026-111585) is serieus omdat een aanvaller met een passende remote-control sessie zowel crashes als arbitraire code-uitvoering kan nasturen. Hoewel TeamViewer stelt geen misbruik in het wild te kennen, is het verstandig om nu te patchen: start bij de 15.83-updates, vergeet legacy versies en neem ook de Remote Management add-ons mee.
