TeamViewer-Lücke CVE-2026-111585: Ferngesteuerter Rechner kann den Techniker angreifen

Normalerweise gilt bei Fernwartung: Gefahr droht dem Rechner, der ferngesteuert wird. Bei CVE-2026-111585 ist es umgekehrt. Ein manipulierter oder kompromittierter Rechner kann über eine ganz normale TeamViewer-Sitzung den Computer angreifen, der sich zu ihm verbindet, also typischerweise den Rechner des Support-Technikers. TeamViewer hat die Lücke am 27. Oktober 2026 mit Version 15.83 geschlossen.

Das Wichtigste in Kürze

• CVE-2026-111585, CVSS 8,8 (hoch): Ganzzahlüberlauf (Integer Overflow) bei der Verarbeitung der Bildschirmdaten in TeamViewer.
• Angegriffen wird der Viewer, also der Rechner, der eine Fernsteuerung startet. Der Angreifer sitzt auf der Gegenseite, dem Host.
• Folgen: Absturz der Sitzung, je nach Plattform auch Ausführung von Schadcode mit den Rechten des TeamViewer-Prozesses.
• Betroffen: TeamViewer Full Client und Portable für Windows, Linux und macOS sowie die Android-App Remote Control vor Version 15.83.
• Behoben in 15.83, für ältere Versionszweige gibt es eigene Updates. Einen Workaround nennt TeamViewer nicht.
• Keine bekannten Angriffe: TeamViewer wusste bei Veröffentlichung von keiner aktiven Ausnutzung, öffentlichen Exploit-Code gibt es nicht.

Was die Lücke erlaubt

In einer TeamViewer-Sitzung gibt es zwei Seiten: den Viewer, der sich verbindet und steuert, und den Host, dessen Bildschirm übertragen wird. Zu Beginn teilt der Host dem Viewer mit, wie groß sein Bildschirm ist. Der Viewer reserviert dafür Speicher, in den er die eingehenden Bildschirmdaten entpackt.

Genau hier liegt der Fehler. Laut dem Sicherheitsforscher Omri Dar von Remedio, der die Lücke gefunden hat, übernimmt der Viewer die angekündigte Breite, Höhe und Farbtiefe ohne Obergrenze und rechnet die Speichergröße mit 32 Bit aus. Bei großen Werten läuft diese Rechnung über, und der Viewer reserviert viel zu wenig Speicher. Die eingehenden Bilddaten prüft er aber weiter gegen die angekündigte Größe. Sie landen deshalb hinter dem Ende des reservierten Bereichs im Speicher, ein klassischer Heap-Überlauf.

Remedio nennt als Beispiel eine Fläche von 32.768 × 32.768 Pixeln mit 32 Bit pro Pixel. Der Viewer bekommt dafür nur rund 4 MB, ab der 32. Bildzeile wird außerhalb des Puffers geschrieben. Weil der Angreifer die Maße frei wählt, kann er auch die Größe des zu kleinen Puffers steuern.

Ein Detail macht die Sache für Angreifer leichter: Der betroffene Bildpuffer wird nur genutzt, wenn keine Hardware-Videodekodierung (AV1 oder H.264) läuft. Ein bösartiger Host kann die Aushandlung der Videocodecs aber einfach verweigern und den Viewer so auf den verwundbaren Pfad zwingen.

Vom Absturz zur Codeausführung

Im einfachsten Fall stürzt TeamViewer beim Viewer ab, und der Host kann das beliebig oft wiederholen. Unter Windows ging Remedio weiter: Die Forscher überschrieben einen Zeiger im beschädigten Speicherobjekt, umgingen die Windows-Schutzmechanismen Control Flow Guard und DEP und starteten auf dem Viewer ein Programm ihrer Wahl.

Eine Einschränkung gibt es: In der Demonstration hat ein Hilfsprogramm auf dem Host einen Teil der Angriffsdaten platziert. Ein vollständiger Angriff allein über die Netzwerkverbindung ist damit noch nicht gezeigt. Ob die Codeausführung auch unter macOS, Linux oder Android klappt, beschreibt Remedio nicht. TeamViewer spricht von Codeausführung „je nach Plattform“.

Ein Passwort stiehlt der Angreifer dabei nicht, und zusätzliche Klicks braucht es auch nicht. „Die ganze Attacke beruht darauf, die Verbindung anzunehmen“, schreibt Dar. Die Lücke ist in der Standardkonfiguration erreichbar.

Wer betroffen ist

TeamViewer Host ist für diese Lücke nicht aufgeführt, weil sie den Viewer trifft. Wichtig: Auch Version 15.82, das Sicherheitsupdate aus dem September, ist noch betroffen. Wer letzten Monat aktualisiert hat, ist also nicht automatisch geschützt.

Das größte Risiko tragen IT-Dienstleister und Support-Abteilungen, deren Techniker sich täglich zu fremden Rechnern verbinden. Ist einer dieser Kundenrechner bereits kompromittiert, kann er zur Falle für den Techniker werden. Aber auch privat ist das Szenario realistisch: Wer per TeamViewer Freunden oder Familie hilft, verbindet sich zu Rechnern, deren Zustand er nicht kennt.

Zwei weitere Lücken im selben Bulletin

Das Sicherheitsbulletin TV-2026-1011 schließt noch zwei weitere Lücken:

• CVE-2026-92372, CVSS 8,8: ein Schreibzugriff außerhalb des Puffers im Bilddecoder des Full Client für Linux und macOS. Er lässt sich über manipulierte Bilddaten in einer Sitzung auslösen oder über eine präparierte Sitzungsaufzeichnung (.tvs-Datei), die das Opfer öffnet.
• CVE-2026-92374, CVSS 7,8: eine Race Condition im privilegierten Hilfsprogramm von Full Client und Host unter macOS. Ein lokaler Angreifer kann damit Root-Rechte erlangen. Deshalb sollte auch TeamViewer Host auf 15.83 aktualisiert werden.

Was du jetzt tun solltest

1. Auf 15.83 aktualisieren: Full Client, Portable-Versionen und die Android-App. Ältere Zweige bekommen die Versionen aus der Tabelle oben.
2. Nicht auf das automatische Update warten: TeamViewer sucht standardmäßig nur einmal pro Woche nach neuen Versionen. Über „Hilfe“ und „Nach neuer Version suchen“ geht es sofort.
3. Support-Rechner zuerst: Die Rechner, die sich zu anderen verbinden, haben Vorrang.
4. Portable-Versionen nicht vergessen: Sie aktualisieren sich nicht von selbst. Alte Kopien auf USB-Sticks oder im Download-Ordner ersetzen oder löschen.
5. Bis zum Update vorsichtig sein: Mit einer alten Version keine Verbindung zu Rechnern aufbauen, denen du nicht traust.
6. Keine fremden .tvs-Dateien öffnen, solange Linux- oder macOS-Clients nicht aktualisiert sind.

Einordnung

Die Lücke dreht das übliche Bedrohungsmodell um. Bei Fernwartung denkt man zuerst an Betrüger, die sich auf fremde Rechner schalten. Hier ist es der ferngesteuerte Rechner, der zurückschlägt. Remedio hat die Lücke am 14. August gemeldet, TeamViewer hat sie am 22. Oktober bestätigt und fünf Tage später behoben. Weil der Fix nun öffentlich ist und die Technik ausführlich beschrieben wurde, ist es nur eine Frage der Zeit, bis Angreifer die Lücke selbst nachbauen. Das Update sollte daher nicht warten.

Häufige Fragen

Bin ich betroffen, wenn ich nur ferngesteuert werde?

Von CVE-2026-111585 nicht, die Lücke trifft den Viewer. Unter macOS betrifft CVE-2026-92374 aber auch TeamViewer Host. Ein Update auf 15.83 ist daher auf allen Rechnern sinnvoll.

Welche TeamViewer-Version habe ich?

Die Version steht in TeamViewer unter „Hilfe“ und „Über TeamViewer“. Alles vor 15.83 ist betroffen, auch 15.82.

Wird die Lücke schon ausgenutzt?

Laut TeamViewer nicht, zum Zeitpunkt der Veröffentlichung waren keine Angriffe bekannt. Die US-Behörde CISA führt sie nicht in ihrer Liste aktiv ausgenutzter Lücken, Stand 29. Oktober.

Gibt es einen Workaround ohne Update?

Nein. TeamViewer nennt als einzige Maßnahme das Update auf 15.83 oder die neueste verfügbare Version.

Quellen

• TeamViewer: Security Bulletin TV-2026-1011 (27./28.10.2026)
• CVE.org: CVE-2026-111585
• SecurityWeek: TeamViewer Flaw Could Let Malicious Hosts Take Over Support Technicians’ Machines (30.10.2026)
• The Hacker News: TeamViewer Flaw Lets Remote Computers Attack Users Who Connect to Control Them (30.10.2026)
• CERT Santé: TeamViewer – CVE-2026-111585 (28.10.2026)