Исследователь Omri Dar из Remedio 29 октября раскрыл уязвимость TeamViewer, которая меняет привычное направление угрозы: атакует компьютер, к которому подключились за удалённой помощью, а пострадать может машина специалиста. В лаборатории исследователи добились запуска выбранной программы на стороне просмотра экрана. Требуется установленный сеанс с подконтрольным атакующему компьютером.

Проблема возникала при подготовке памяти для изображения удалённого рабочего стола. Компьютер клиента сообщал размеры экрана, а TeamViewer на машине специалиста использовал их для расчёта буфера. Из-за переполнения числа программа выделяла гораздо меньше памяти, чем требовалось, но последующие проверки продолжали доверять заявленным размерам. Декодирование изображения могло записывать данные за пределами выделенной области.

Обычно изображение могло идти через аппаратный видеодекодер. Однако удалённая сторона могла отказаться от согласования видеокодеков и направить соединение на уязвимый запасной путь. Для атаки не требовалось красть пароль специалиста или убеждать его открыть отдельное вложение: опасные данные приходили внутри уже установленного сеанса.

У демонстрации есть существенная граница: Remedio использовала лабораторную подстановку на стороне отправителя, заменявшую этап подготовки расположения объектов в памяти. Поэтому показ запуска кода не следует выдавать за подтверждённую кампанию взломов или одинаково готовую атаку на все платформы. Проверенные исследователями версии относились к Windows.

По хронологии Remedio, исправление CVE-2026-111585 вышло 27 октября в TeamViewer 15.83. Новый результат здесь — объяснение того, как сам просмотр чужого экрана открывал обратный путь к машине техподдержки; наличие подключения не делало присылаемое изображение доверенным.