TeamViewer 15.83 corrige un débordement d’entier qui retourne la prise en main contre le technicien
Le 30 octobre 2026, TeamViewer publie la version 15.83 pour corriger CVE-2026-111585, un débordement d’entier (CVSS 8.8) qui permet à la machine que l’on aide d’exécuter du code sur le poste du technicien. Les équipes de support doivent appliquer la mise à jour sans délai et traiter chaque hôte distant inconnu comme une surface d’attaque.
30 octobre 2026. TeamViewer publie la version 15.83, qui referme CVE-2026-111585, un débordement d’entier dans le composant de traitement de l’écran de la prise en main à distance. 30 octobre 2026, même jour. La faille est recensée par Tenable et NVD avec un score CVSS 8.8 et la classe CWE-190. 30 octobre 2026, encore. Aucune exploitation active n’est documentée publiquement, mais le vecteur ne demande ni privilège ni authentification : seule la victime doit établir la connexion. L’essentiel tient en une phrase : la machine que l’on vient dépanner peut, selon la plateforme, exécuter du code arbitraire sur le poste du technicien.
Pour une équipe de support qui prend la main sur des machines clientes inconnues plusieurs fois par jour, ce correctif n’est pas une mise à jour de routine. C’est la démonstration que la relation de confiance du support à distance, réputée à sens unique, peut être retournée contre celui qui aide.
Ce que corrige CVE-2026-111585
Le défaut se niche dans le composant qui décode et affiche les mises à jour d’écran envoyées par l’hôte distant. Lorsque le client reconstruit l’image reçue, un calcul de taille peut déborder : un entier trop grand enveloppe sur une valeur faible, ce qui conduit à une allocation insuffisante puis à une écriture hors limites. Concrètement, un hôte distant malveillant peut envoyer une série de mises à jour d’écran forgées qui font planter le visionneur, et, sur certaines plateformes, exécutent du code arbitraire avec les privilèges du processus de visionnage.
Trois produits sont concernés, tous avant la version 15.83 : le Client complet, la version Portable et l’application Remote Control. Le nom de la classe, CWE-190 (integer overflow), dit l’essentiel du mécanisme ; le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H précise la contrainte : l’attaque vient du réseau, sans privilège, mais exige que l’utilisateur établisse une session de prise en main vers la machine de l’attaquant. C’est ce « UI:R » — interaction utilisateur requise — qui change tout.
Pourquoi cette faille inverse la relation de confiance
Le support à distance repose sur un présupposé tacite : c’est le technicien qui tient l’outil, et la machine distante qui est passive. La personne qui appelle à l’aide ouvre sa porte ; celui qui intervient garde le contrôle. CVE-2026-111585 brise ce présupposé à l’endroit exact où il s’applique : le flux d’écran.
Dans un scénario d’attaque, l’attaquant n’a pas besoin d’exploiter directement le poste du technicien. Il lui suffit de convaincre un agent de support de se connecter à une machine qu’il contrôle — un client « en panne », un prestataire, un poste de démonstration. Dès que la session s’ouvre, le flux d’écran devient un canal d’attaque. Pour les MSP et les helpdesks qui ouvrent des sessions vers des parcs qu’ils ne maîtrisent pas, le risque n’est pas théorique : c’est la routine quotidienne.
La gravité CVSS 8.8 reflète cet effet de levier. L’attaque n’a pas besoin d’authentification, la complexité est faible, et l’impact est complet sur la confidentialité, l’intégrité et la disponibilité du poste du technicien. Seule l’interaction requise — la décision de se connecter — abaisse le score sous la barre des 9.
Qui est exposé
Le périmètre ne se limite pas aux particuliers qui utilisent TeamViewer pour dépanner un proche. Les équipes les plus exposées sont celles qui automatisent ou industrialisent la prise en main :
- Les helpdesks internes, qui se connectent à des postes d’utilisateurs finaux, souvent sans vérifier ce qui tourne sur la machine avant d’ouvrir la session.
- Les MSP et intégrateurs, dont les techniciens interviennent sur des environnements clients variés, parfois compromis sans le savoir.
- Les éditeurs et équipes de démonstration, qui ouvrent des sessions vers des machines de prospects ou de partenaires.
Dans tous ces cas, la machine distante est, par définition, moins fiable que le poste de l’opérateur. La faille inverse exactement ce rapport : elle fait de la machine distante l’attaquant et du poste de l’opérateur la cible.
Ce qu’il faut faire maintenant
Le correctif est simple, et il n’y a pas de contournement à lui préférer : passer à la version 15.83 ou ultérieure, sur les trois produits concernés. Les mesures complémentaires relèvent de l’hygiène de support plus que du correctif lui-même.
- Mettre à jour 15.83 partout. Vérifiez le parc complet, y compris les postes des techniciens et les machines d’appoint qui exécutent la version Portable.
- Restreindre les connexions sortantes. N’autorisez l’ouverture d’une session de prise en main que vers des hôtes connus, et jamais vers une machine dont l’identité n’a pas été vérifiée.
- Isoler l’outil de support. Faites tourner le Client de prise en main dans un environnement dédié, sans accès aux secrets de production.
- Vérifier avant de se connecter. Un poste distant qui se comporte bizarrement avant même la session est un signal : interrompre plutôt que dépanner.
Aucune de ces mesures ne remplace la mise à jour. Elles réduisent la fenêtre pendant laquelle un hôte distant malveillant peut transformer une session d’assistance en compromission.
Verdict
La faille ne remet pas en cause l’utilité de TeamViewer : elle précise la condition de son usage. Si vous exploitez un poste de support qui se connecte à des machines extérieures, appliquez la version 15.83 immédiatement et durcissez le poste du technicien comme une cible — c’est désormais une cible. Si vous gérez un parc interne homogène, le risque est plus faible mais la mise à jour reste non négociable, car une seule machine cliente compromise suffit à retourner une session. La leçon dépasse ce produit : dans le support à distance, le canal que l’on ouvre pour aider est aussi un canal qui peut servir à attaquer, et la confiance doit s’arrêter là où commence l’inconnu.