TeamViewer CVE-2026-111585: l'host attacca il tecnico con un integer overflow

Il 30 ottobre 2026 emerge una vulnerabilità che inverte il modello di minaccia tradizionale delle sessioni di assistenza remota. CVE-2026-111585 è un integer overflow nel componente di elaborazione schermo di TeamViewer: chi riceve aiuto diventa l'aggressore, chi si connette per risolvere il problema diventa la vittima. Il meccanismo, scoperto dai ricercatori di Remedio e documentato da SecurityWeek, sfrutta la mancata validazione delle dimensioni schermo annunciate dall'host per eseguire codice arbitrario sulla macchina del viewer.

Il punteggio CVSS è 8.8, livello HIGH. Il vettore di attacco richiede una sessione stabilita (UI:R), ma non privilegi speciali né interazione aggiuntiva da parte del tecnico oltre all'accettazione iniziale. L'impatto è completo: confidenzialità, integrità e disponibilità, tutti compromessi sul lato viewer.

Il meccanismo: quando le dimensioni schermo diventano un'arma

La vulnerabilità risiede nel percorso di decoding software attivato quando il decoder hardware video non è disponibile o viene rifiutato dall'host. In questa condizione, il viewer alloca un buffer pixel basato sui parametri ricevuti via rete: larghezza, altezza e profondità colore. Il prodotto delle tre dimensioni viene calcolato in 32 bit senza controllo di overflow.

Un host può annunciare geometrie irrealistiche — l'esempio documentato è 32768×32768 pixel a 32 bit per pixel — e il risultato dell'operazione wrap-around produce una dimensione di allocazione inferiore ai dati effettivamente scritti. Il contenuto dell'aggiornamento schermo, controllato interamente dall'host, trabocca così nel heap del viewer.

"The screen dimensions a host announces are used to size the drawing surface as-is, with no upper bound enforced on what arrives over the network" — Remedio (via SecurityWeek)

L'overflow non si ferma a corruzione di memoria generica. La superficie compromessa è un oggetto "live" che il viewer invoca attraverso un puntatore contenuto nel suo primo campo. Sovrascrivere quel puntatore consente di redirezionare l'esecuzione. I ricercatori hanno superato le protezioni esistenti e instradato la chiamata a WinExec, ottenendo esecuzione arbitraria di codice con i privilegi del processo TeamViewer sul sistema del tecnico.

Come sottolinea Remedio: "The surface is reachable in the default configuration. An accepted session is all it takes, and that is the product's normal mode of operation". Nessuna configurazione speciale, nessun exploit preliminare: la sessione stessa è il veicolo.

Il modello tradizionale e la sua inversione

Nelle architetture di supporto remoto convenzionali, l'attaccante compromette il client che riceve assistenza. Il tecnico è considerato affidabile, l'utente che chiede aiuto è il perimetro da difendere. CVE-2026-111585 sovverte questa logica: l'host diventa il punto di origine dell'attacco, il viewer diventa il bersaglio.

Secondo le fonti primarie, il percorso vulnerabile è attivo nella configurazione predefinita. La citazione di Remedio sulla "normal mode of operation" evidenzia che il rischio non nasce da una deviazione comportamentale, ma dal funzionamento standard del prodotto. L'host annuncia dimensioni, il viewer le accetta, il buffer si alloca — e se le dimensioni sono malevole, l'esecuzione deriva.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dai fatti documentati dalle fonti primarie:

• Aggiornare alla versione 15.83 o alle versioni legacy patchate specificate nel record CVE: 15.64.10, 14.7.48868, 13.2.36231/154007/154008. Secondo CVE.org e OffSeq Radar, queste sono le uniche versioni che integrano la correzione per CVE-2026-111585.
• Verificare la catena di aggiornamento dei client TeamViewer Full Client, Portable e Remote Control App su tutte le piattaforme affette: Windows, macOS, Linux e Android. La vulnerabilità interessa tutte queste edizioni.
• Riallineare il modello di rischio per le sessioni di supporto in entrata: trattare ogni host come potenziale aggressore indipendentemente dal contesto apparente della richiesta.
• Monitorare l'adozione della patch nel parco installato. OffSeq Radar riporta EPSS 0.2%, Strix riporta EPSS 0.29%: entrambi i valori non sono verificati indipendentemente e indicano stime separate con identico limite di attendibilità.

Cosa cambia per chi fa supporto

Il punto chiave è la direzione dell'attacco. Non è più sufficiente proteggere l'host che riceve aiuto: il tecnico che si connette è ora esposto a compromissione diretta attraverso il canale stesso della sessione. La fiducia implicita nel protocollo — l'host annuncia, il viewer accetta — diventa il meccanismo di exploit.

La stessa patch di ottobre corregge anche CVE-2026-92372, un out-of-bounds write su macOS e Linux, e CVE-2026-92374, una race condition TOCTOU su macOS. Secondo SecurityWeek, queste vulnerabilità sono risolte dalla medesima versione 15.83, ma non condividono lo stesso vettore di attacco di CVE-2026-111585.

Il perimetro di rischio e le versioni affette

Il record CVE.org e il database NVD confermano la matrice delle versioni vulnerabili. L'intero ciclo di vita del prodotto è toccato: dalle release correnti fino alle versioni legacy ancora distribuite in ambienti enterprise. La correzione richiede un intervento attivo su ogni endpoint che funge da viewer, non solo sui server di gestione centralizzata.

La natura cross-platform della vulnerabilità amplifica la superficie di esposizione. Windows, macOS, Linux e Android condividono lo stesso percorso vulnerabile nel decoder software, rendendo omogeneo il rischio indipendentemente dall'infrastruttura locale.

Chiusura editoriale

CVE-2026-111585 rappresenta una categoria di rischio sottovalutata: l'inversione del trust nel protocollo di comunicazione. Non è l'attaccante che forza l'ingresso, è il sistema che accetta dati dannosi da una fonte considerata legittima. La lezione per i team di sicurezza è che la verifica dell'input non può dipendere dall'identità apparente del mittente, nemmeno in un contesto di supporto autorizzato.

TeamViewer ha rilasciato la patch, non ha rilevato exploit attivi, e il vettore richiede comunque una sessione stabilita. Questi elementi contengono il rischio immediato, ma non eliminano la necessità di aggiornare. La versione 15.83 è la risposta tecnica; la ricalibrazione del modello di minaccia è la risposta strategica.