Vulnerabilidad en TeamViewer permite a hosts controlados atacar las máquinas del visor

TeamViewer ha lanzado una actualización de seguridad crítica para corregir una vulnerabilidad que invierte el modelo de confianza habitual de las sesiones de escritorio remoto. El fallo, descubierto por el investigador Omri Dar de Remedio, permite que una máquina controlada ataque al ordenador que inicia la conexión. La corrección está disponible en la versión 15.83, publicada a finales de octubre de 2026.

Qué ocurrió

En una sesión estándar de TeamViewer, el usuario que se conecta para controlar otra máquina es llamado visor, mientras que la máquina controlada es el host. Esta nueva vulnerabilidad, identificada como CVE-2026-111585, permite que un host malicioso o comprometido explote el software del visor. El fallo tiene una puntuación de severidad de 8.8 sobre 10, lo que lo sitúa en la categoría de alto riesgo. Afecta al TeamViewer Full Client en Windows, Linux y macOS, así como a la edición Portable para Windows y la aplicación Android Remote Control. Cualquier versión anterior a la 15.83 es vulnerable.

El problema fue detallado en un informe técnico publicado el 29 de octubre por Omri Dar. Señaló que el ataque no requiere contraseña ni clics adicionales más allá de que el usuario acepte la sesión remota. Funciona dentro de la configuración predeterminada del software. Cabe destacar que esta vulnerabilidad persistió tras la actualización de seguridad anterior, la versión 15.82, publicada en septiembre de 2026. Los usuarios que actualizaron el mes pasado siguen expuestos a menos que instalen la compilación 15.83.

Aunque el impacto principal es una condición de denegación de servicio donde la aplicación del visor se bloquea, existe el potencial de ejecución de código remoto. En Windows, los investigadores demostraron que el fallo podría evadir las defensas del sistema operativo para ejecutar código arbitrario en la máquina del visor. TeamViewer afirma que la ejecución de código es posible dependiendo de la plataforma, aunque la demostración pública se limitó a Windows. Actualmente no hay informes de explotación activa en entornos reales, y la vulnerabilidad aún no figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.

Cómo funciona

La vulnerabilidad proviene de un error de cálculo de memoria durante la inicialización de una sesión remota. Cuando un visor se conecta a un host, este envía metadatos que describen el tamaño de su imagen de pantalla. El software del visor utiliza esta información para asignar un bloque específico de memoria para almacenar los datos visuales entrantes. Sin embargo, el cálculo utilizado para determinar el tamaño de memoria requerido puede desbordarse. Esto provoca que el visor reserve un búfer más pequeño de lo necesario.

Cuando el host envía posteriormente los datos reales de la pantalla, la información supera el espacio del búfer asignado. Esto resulta en un desbordamiento de búfer en el heap, donde los datos se escriben más allá del final de la región de memoria reservada. Como mínimo, esto corrompe el estado de la aplicación y bloquea el cliente de TeamViewer en el lado del visor. Un atacante habilidoso puede manipular este desbordamiento para sobrescribir estructuras de memoria adyacentes. En Windows, esta técnica se utilizó con éxito para secuestrar el flujo de ejecución y ejecutar código personalizado, tomando efectivamente el control del sistema del visor desde el lado del host.

Detalles clave

• ID de la vulnerabilidad: CVE-2026-111585 con una puntuación CVSS de 8.8.
• Versiones afectadas: Todas las versiones de TeamViewer Full Client, Portable y Android Remote Control anteriores a la 15.83.
• Vector de ataque: El host explota al visor después de aceptar una sesión remota; no se requiere contraseña.
• Impacto: Denegación de servicio (bloqueo) en todas las plataformas; ejecución de código remoto demostrada en Windows.
• Corrección: Actualizar a TeamViewer versión 15.83 o posterior.
• Estado: No se conoce ninguna explotación activa en entornos reales hasta el 29 de octubre de 2026.

Por qué importa

Este fallo es significativo porque invierte la frontera de seguridad esperada de las herramientas de acceso remoto. Normalmente, los usuarios se preocupan por partes no autorizadas que se conectan a su máquina como host. Aquí, el riesgo proviene de conectarse a un host potencialmente no confiable o comprometido. Para los equipos de TI y el personal de soporte que se conectan regularmente a dispositivos de usuarios o servidores de terceros, esto crea un riesgo similar al de la cadena de suministro, donde el entorno objetivo puede convertir la herramienta de gestión en un arma contra el administrador.

Para ingenieros de software y líderes de seguridad, esto resalta los peligros de confiar en los metadatos de endpoints remotos sin una validación rigurosa. El hecho de que el cálculo se haya desbordado sugiere que las comprobaciones de seguridad de enteros fueron insuficientes para valores de tamaño de pantalla grandes o malformados. También demuestra que, incluso con protecciones modernas del sistema operativo como ASLR y DEP, los errores de corrupción de memoria aún pueden conducir a la ejecución completa de código si el desbordamiento es lo suficientemente preciso. La ausencia de una solución alternativa significa que parchear es la única mitigación, forzando una interrupción operativa inmediata para las actualizaciones.

Qué puede hacer

• Actualice todas las instalaciones de TeamViewer a la versión 15.83 o posterior inmediatamente.
• Verifique que la actualización se aplicó correctamente comprobando el número de versión en el menú Ayuda > Acerca de.
• Aplique la actualización complementaria TV-2026-1012 para los complementos de Gestión Remota, que corrige seis fallos adicionales.
• Revise los registros en busca de bloqueos inesperados en los clientes de TeamViewer que puedan indicar intentos previos de explotación.
• Restrinja los permisos de acceso remoto solo a hosts de confianza hasta que se complete el despliegue del parche en toda su organización.
• Monitoree los canales oficiales de TeamViewer para cualquier aviso adicional sobre la ejecución de código en macOS, Linux o Android.